35 lines
1.8 KiB
YAML
35 lines
1.8 KiB
YAML
|
---
|
||
|
|
# Rôle utilitaire (pas un groupe déployable) : résout la connexion à l'annuaire (OpenLDAP)
|
||
|
|
# de façon déclarative, dérivée du domaine interne + de l'hôte d'annuaire. Remplace le
|
||
|
|
# câblage LDAP répété dans serveur_dovecot/postfix/keycloak/icingaweb2.
|
||
|
|
#
|
||
|
|
# Sorties (facts) :
|
||
|
|
# resoudre_annuaire_fqdn — id-ldap-01.<domaine>
|
||
|
|
# resoudre_annuaire_uri — ldaps://id-ldap-01.<domaine>
|
||
|
|
# resoudre_annuaire_base_dn — dc=...,dc=...
|
||
|
|
# resoudre_annuaire_users_dn — ou=people,dc=...
|
||
|
|
# resoudre_annuaire_bind_dn — cn=admin,dc=...
|
||
|
|
# resoudre_annuaire_bind_password — secret déréférencé depuis la voûte (no_log)
|
||
|
|
- name: Exiger un domaine interne non vide
|
||
|
|
ansible.builtin.assert:
|
||
|
|
that:
|
||
|
|
- domaine_interne is defined
|
||
|
|
- domaine_interne | length > 0
|
||
|
|
fail_msg: "domaine_interne doit être défini pour résoudre l'annuaire."
|
||
|
|
|
||
|
|
# set_fact (pas les defaults) pour que ces valeurs persistent dans le rôle consommateur
|
||
|
|
# après include_role (les defaults du rôle inclus ne fuient pas hors de son exécution).
|
||
|
|
- name: Dériver la connexion à l'annuaire
|
||
|
|
ansible.builtin.set_fact:
|
||
|
|
resoudre_annuaire_fqdn: "{{ resoudre_annuaire_hote }}.{{ domaine_interne }}"
|
||
|
|
resoudre_annuaire_uri: "{{ resoudre_annuaire_encryption }}://{{ resoudre_annuaire_hote }}.{{ domaine_interne }}"
|
||
|
|
resoudre_annuaire_port: "{{ resoudre_annuaire_port }}"
|
||
|
|
resoudre_annuaire_base_dn: "dc={{ domaine_interne.split('.') | join(',dc=') }}"
|
||
|
|
resoudre_annuaire_users_dn: "ou=people,dc={{ domaine_interne.split('.') | join(',dc=') }}"
|
||
|
|
resoudre_annuaire_bind_dn: "cn={{ resoudre_annuaire_bind_cn }},dc={{ domaine_interne.split('.') | join(',dc=') }}"
|
||
|
|
|
||
|
|
- name: Déréférencer le mot de passe de bind (Vault)
|
||
|
|
ansible.builtin.set_fact:
|
||
|
|
resoudre_annuaire_bind_password: "{{ lookup('vars', resoudre_annuaire_secret) }}"
|
||
|
|
no_log: true
|