2026-07-05 01:39:11 -04:00
|
|
|
---
|
|
|
|
|
# =========================================================================
|
2026-07-05 15:00:39 -04:00
|
|
|
# serveur_nextcloud — maison numérique souveraine (fichiers + collaboration).
|
|
|
|
|
# Codifié depuis le spike empirique du 2026-07-05 : chaque réglage encode un
|
|
|
|
|
# gotcha prouvé (voir README). Motifs Set-OPS : BD via resoudre_base, SSO via
|
|
|
|
|
# Keycloak, TLS via cert racine step-ca, exposition derrière l'edge nginx.
|
2026-07-05 01:39:11 -04:00
|
|
|
# =========================================================================
|
|
|
|
|
serveur_nextcloud_groupe: "serveur_nextcloud"
|
|
|
|
|
serveur_nextcloud_utilisateur: "www-data"
|
|
|
|
|
|
2026-07-05 15:00:39 -04:00
|
|
|
# --- Version ÉPINGLÉE (robustesse : pas de mise à jour surprise ; upgrade en escale) ---
|
|
|
|
|
serveur_nextcloud_version: "34.0.1"
|
|
|
|
|
serveur_nextcloud_url: "https://download.nextcloud.com/server/releases/nextcloud-{{ serveur_nextcloud_version }}.tar.bz2"
|
|
|
|
|
serveur_nextcloud_racine: "/var/www/nextcloud"
|
|
|
|
|
|
|
|
|
|
# --- PHP (Debian 13 = 8.4) + tuning EXIGÉ par Nextcloud (gotcha : 128M → pages blanches) ---
|
|
|
|
|
serveur_nextcloud_php_version: "8.4"
|
|
|
|
|
serveur_nextcloud_php_memory_limit: "512M"
|
|
|
|
|
serveur_nextcloud_php_upload_max: "512M"
|
|
|
|
|
# imagick tire ses deps ; NE PAS lister libmagickcore-6 (absent de Debian 13).
|
|
|
|
|
serveur_nextcloud_paquets:
|
|
|
|
|
- "php{{ serveur_nextcloud_php_version }}-fpm"
|
|
|
|
|
- "php{{ serveur_nextcloud_php_version }}-gd"
|
|
|
|
|
- "php{{ serveur_nextcloud_php_version }}-curl"
|
|
|
|
|
- "php{{ serveur_nextcloud_php_version }}-mbstring"
|
|
|
|
|
- "php{{ serveur_nextcloud_php_version }}-xml"
|
|
|
|
|
- "php{{ serveur_nextcloud_php_version }}-zip"
|
|
|
|
|
- "php{{ serveur_nextcloud_php_version }}-pgsql"
|
|
|
|
|
- "php{{ serveur_nextcloud_php_version }}-intl"
|
|
|
|
|
- "php{{ serveur_nextcloud_php_version }}-bcmath"
|
|
|
|
|
- "php{{ serveur_nextcloud_php_version }}-gmp"
|
|
|
|
|
- "php{{ serveur_nextcloud_php_version }}-imagick"
|
|
|
|
|
- "php{{ serveur_nextcloud_php_version }}-redis"
|
|
|
|
|
- "php{{ serveur_nextcloud_php_version }}-cli"
|
|
|
|
|
- "nginx"
|
|
|
|
|
- "redis-server"
|
|
|
|
|
- "bzip2"
|
|
|
|
|
|
|
|
|
|
# --- Base de données (dérivée par resoudre_base ; PG en verify-full TLS) ---
|
|
|
|
|
serveur_nextcloud_db_host: "" # dérivé (FQDN)
|
2026-07-05 01:39:11 -04:00
|
|
|
serveur_nextcloud_db_port: 5432
|
2026-07-05 15:00:39 -04:00
|
|
|
serveur_nextcloud_db_name: "nextcloud"
|
|
|
|
|
serveur_nextcloud_db_user: "nextcloud"
|
|
|
|
|
# Gotcha : PDO pgsql (libpq) lit PGSSLMODE/PGSSLROOTCERT dans l'env de php-fpm.
|
|
|
|
|
serveur_nextcloud_pg_sslmode: "verify-full"
|
|
|
|
|
serveur_nextcloud_ca_racine: "/etc/step/certs/root_ca.crt"
|
2026-07-05 01:39:11 -04:00
|
|
|
|
2026-07-05 15:00:39 -04:00
|
|
|
# --- Cache Redis local (verrous + mémoire) ---
|
2026-07-05 01:39:11 -04:00
|
|
|
serveur_nextcloud_redis_host: "localhost"
|
|
|
|
|
serveur_nextcloud_redis_port: 6379
|
|
|
|
|
|
2026-07-05 15:00:39 -04:00
|
|
|
# --- Exposition (derrière l'edge nginx ; TLS terminé à l'edge) ---
|
|
|
|
|
serveur_nextcloud_hostname: "cloud.{{ domaine_interne }}"
|
|
|
|
|
serveur_nextcloud_http_addr: "0.0.0.0" # l'edge (autre hôte) doit joindre :80
|
|
|
|
|
serveur_nextcloud_http_port: 80
|
|
|
|
|
# IP de l'edge → trusted_proxies (pour voir la vraie IP client, pas throttler l'edge).
|
|
|
|
|
serveur_nextcloud_edge_ip: "{{ hostvars[(groups['serveur_nginx'] | default([]) | first) | default('')].ansible_host | default('') }}"
|
|
|
|
|
|
|
|
|
|
# --- SSO OIDC (Keycloak) — app user_oidc ---
|
2026-07-05 01:39:11 -04:00
|
|
|
serveur_nextcloud_oidc_actif: true
|
2026-07-07 03:08:09 -04:00
|
|
|
serveur_nextcloud_oidc_nom: "{{ organisation | default('Organisation') }}"
|
2026-07-05 01:39:11 -04:00
|
|
|
serveur_nextcloud_oidc_client_id: "nextcloud"
|
|
|
|
|
serveur_nextcloud_oidc_client_secret: "{{ vault_nextcloud_oidc | default('') }}"
|
|
|
|
|
serveur_nextcloud_oidc_realm: "{{ identite_realm | default('chezlepro') }}"
|
2026-08-07 15:33:32 -04:00
|
|
|
# DERIVE de l'exposition declaree au plan (role `resoudre_idp`) ; repli seulement.
|
|
|
|
|
serveur_nextcloud_oidc_repli: >-
|
|
|
|
|
https://keycloak.{{ domaine_interne }}/realms/{{ serveur_nextcloud_oidc_realm }}/.well-known/openid-configuration
|
|
|
|
|
serveur_nextcloud_oidc_discovery: >-
|
|
|
|
|
{{ resoudre_idp_discovery | default(serveur_nextcloud_oidc_repli) }}
|
2026-07-05 01:39:11 -04:00
|
|
|
|
2026-07-05 15:00:39 -04:00
|
|
|
# --- Collabora Online (WOPI) — app richdocuments ---
|
|
|
|
|
serveur_nextcloud_office_actif: true
|
|
|
|
|
serveur_nextcloud_wopi_url: "http://127.0.0.1:9980" # serveur → Collabora (local)
|
|
|
|
|
serveur_nextcloud_wopi_public_url: "https://bureau.{{ domaine_interne }}" # navigateur → edge
|
2026-07-05 01:39:11 -04:00
|
|
|
|
|
|
|
|
# --- Données + admin ---
|
2026-07-05 15:00:39 -04:00
|
|
|
serveur_nextcloud_data_dir: "{{ serveur_nextcloud_racine }}/data"
|
2026-07-05 01:39:11 -04:00
|
|
|
serveur_nextcloud_admin_user: "admin"
|
2026-07-05 15:00:39 -04:00
|
|
|
serveur_nextcloud_admin_password: "{{ vault_nextcloud_admin | default('') }}"
|
2026-07-05 01:39:11 -04:00
|
|
|
|
authentification : SSO Keycloak devant, secours par sudo, formulaire local fermé
Directive : toute authentification web passe par Keycloak, LDAP est la source
unique des comptes, chaque service garde un accès de secours par sudo sur
l'hôte. Les trois sont indissociables — la chaîne service → Keycloak → LDAP est
en série, donc sans secours une panne exclut tout le monde, y compris pour
réparer. Portée : le web seulement ; IMAP/SMTP se lient à LDAP directement et
SSH est en clé seule.
Posture <rôle>_connexion_locale, false par défaut. Le compte local existe — il
ne peut pas dépendre de Keycloak — mais son formulaire n'est plus proposé au
repos : ouvert en permanence, il contourne la politique de mot de passe, le MFA
et surtout la révocation centrale.
Vérifié auprès de l'amont, puis par rendu réel des gabarits dans les deux
postures :
- Grafana GF_AUTH_DISABLE_LOGIN_FORM → ferme ;
- Forgejo ENABLE_INTERNAL_SIGNIN + ENABLE_BASIC_AUTHENTICATION → ferme, API
Basic comprise. N'existe que depuis la v10 (ticket amont 7476) ; le rôle
épingle 10.0.0 et un assert refuse la fermeture en deçà, car le réglage serait
ignoré sans erreur ;
- Nextcloud hide_login_form → MASQUE seulement : ?direct=1 reste le chemin de
secours documenté par l'amont. Écrit comme tel, sans prétendre à l'équivalence.
Défaut attrapé par le rendu : la condition Forgejo sans `| bool` n'émettait rien
dans aucune posture — une valeur en chaîne est vraie au sens Jinja, la connexion
locale serait restée ouverte en silence.
docs/authentification.md, décisions D-38 à D-41. ansible-lint (production) sans
échec, 28 preuves OK.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-03 16:50:36 -04:00
|
|
|
# --- Connexion locale (acces de secours) ---
|
|
|
|
|
# `false` = le formulaire n'est pas propose au repos ; le SSO Keycloak est le seul
|
|
|
|
|
# chemin annonce. Le compte local existe toujours et s'atteint par `sudo` sur l'hote
|
|
|
|
|
# (`occ user:resetpassword`), qui est le mecanisme de secours retenu.
|
|
|
|
|
#
|
|
|
|
|
# NUANCE PROPRE A NEXTCLOUD, a ne pas gommer : `hide_login_form` MASQUE le formulaire,
|
|
|
|
|
# il ne le ferme pas — `…/login?direct=1` y accede encore, et l'amont le documente
|
|
|
|
|
# comme voulu (c'est ainsi qu'un admin entre). La protection reelle est donc de ne plus
|
|
|
|
|
# l'ANNONCER, pas de l'interdire. Grafana et Forgejo, eux, ferment vraiment.
|
|
|
|
|
# Le pretendre equivalent donnerait un faux confort.
|
|
|
|
|
serveur_nextcloud_connexion_locale: false
|
|
|
|
|
|
2026-07-05 15:00:39 -04:00
|
|
|
# Domaines de confiance : hostname exposé + nom court local.
|
2026-07-05 01:39:11 -04:00
|
|
|
serveur_nextcloud_trusted_domains:
|
|
|
|
|
- "{{ serveur_nextcloud_hostname }}"
|
2026-07-05 15:00:39 -04:00
|
|
|
- "{{ ansible_hostname | default('localhost') }}"
|
|
|
|
|
|
|
|
|
|
# --- Identité visuelle Alliance Boréale ---
|
|
|
|
|
serveur_nextcloud_branding: true
|
2026-07-07 03:08:09 -04:00
|
|
|
serveur_nextcloud_theme_nom: "{{ organisation | default('Organisation') }}"
|
2026-07-05 15:00:39 -04:00
|
|
|
serveur_nextcloud_theme_slogan: "Votre maison numérique souveraine"
|
|
|
|
|
serveur_nextcloud_theme_couleur: "#0e1640"
|
|
|
|
|
serveur_nextcloud_theme_ciel: true # thème custom « ciel boréal » (login + app)
|
|
|
|
|
|
|
|
|
|
# --- Sécurité : whitelister le sous-réseau d'admin (PAS désactiver l'anti-force-brute) ---
|
|
|
|
|
serveur_nextcloud_bruteforce_whitelist: "{{ (sous_reseau_admin | default('')) }}"
|
2026-08-07 14:49:28 -04:00
|
|
|
|
|
|
|
|
# --- Habilitation par groupe (D-66) -------------------------------------------
|
|
|
|
|
# `user_oidc` provisionne les groupes du claim `groups` — ceux que Keycloak projette
|
|
|
|
|
# depuis LDAP (group-ldap-mapper). Etre dans un groupe ne donne pourtant aucun
|
|
|
|
|
# pouvoir : l'administration de Nextcloud est le groupe interne `admin`, ou le role
|
|
|
|
|
# verse les membres du groupe d'habilitation.
|
|
|
|
|
serveur_nextcloud_oidc_groupe_claim: "groups"
|
|
|
|
|
serveur_nextcloud_oidc_groupe_admin: "sysadmin"
|
2026-08-07 21:10:47 -04:00
|
|
|
|
|
|
|
|
# Empreinte du mot de passe admin APPLIQUE (rotation). Voir tasks/configurer.yml.
|
|
|
|
|
serveur_nextcloud_marqueur_admin: "/etc/setops-nextcloud-admin-sha256"
|
artefacts : le controleur telecharge et pousse, la cible ne tire plus
Inventaire mesure de ce qu'une reconstruction de tenant telecharge — ~1,5 Gio :
Nextcloud 230 Mio, image collabora/code 471 Mio (Docker Hub), Keycloak 140,
Forgejo 101, oauth2-proxy 18, plus les paquets apt (Debian + Grafana +
smallstep + Icinga) sur 14 hotes.
Les quatre archives sont EPINGLEES EN VERSION et vont chacune sur UN SEUL
hote. Les retelecharger a chaque reconstruction est un gaspillage et une
dependance de plus sur le chemin critique — un serveur tiers lent a deja fait
tomber un deploiement le 2026-08-09, sur le binaire Forgejo precisement.
POURQUOI POUSSER PLUTOT QUE SERVIR UN CACHE. L'exploitant proposait son poste
comme cache HTTP ; l'intention est juste mais elle butait sur ce qu'on avait
ferme le matin meme : les regles sortantes visent !SETOPS_INTERNES, donc une
VM de tenant ne peut plus atteindre le poste. Servir un cache aurait exige de
ROUVRIR un flux vers le plan d'administration.
L'inversion evite le probleme entier : le controleur telecharge dans son cache
(~/.cache/setops, garde par un stat), puis pousse par le canal SSH qui existe
deja. Aucun port, aucun service, aucune regle, aucun couplage. Et ces
artefacts deviennent deployables HORS LIGNE une fois le cache rempli.
Ce que ca ne couvre pas, et qu'il faut nommer : l'image collabora/code, seule
entorse a la doctrine « zero Docker » du depot — elle merite sa propre
decision, pas un contournement discret ; et les paquets apt, dont le cache a
sa place cote HEBERGEUR, partage entre tenants.
Et une mesure qui a contredit mon hypothese : le .zip de Nextcloud pese
271 Mio contre 230 pour le .tar.bz2. Il telecharge PLUS pour decompresser
moins lentement. Le changement de format attend une mesure, pas une intuition.
Verifie : cache rempli (491 Mio, 4/4), ansible-lint production sur 79 fichiers,
prouver.py 35 OK, plus aucun get_url n'ecrit sur la cible.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-10 20:58:58 -04:00
|
|
|
|
|
|
|
|
# Cache d'artefacts DU CONTROLEUR (pas de la cible). Le controleur telecharge une fois,
|
|
|
|
|
# puis pousse par SSH : aucun flux nouveau, et l'artefact devient deployable hors ligne.
|
|
|
|
|
# Surchargeable par `setops_cache_artefacts` pour partager un cache commun.
|
|
|
|
|
serveur_nextcloud_cache_local: "{{ setops_cache_artefacts | default(lookup('env', 'HOME') + '/.cache/setops') }}"
|