Set-OPS-Public/roles/resoudre_annuaire/tasks/main.yml

---
# Rôle utilitaire (pas un groupe déployable) : résout la connexion à l'annuaire (OpenLDAP)
# de façon déclarative, dérivée du domaine interne + de l'hôte d'annuaire. Remplace le
# câblage LDAP répété dans serveur_dovecot/postfix/keycloak/icingaweb2.
#
# Sorties (facts) :
#   resoudre_annuaire_fqdn       — id-ldap-01.<domaine>
#   resoudre_annuaire_uri        — ldaps://id-ldap-01.<domaine>
#   resoudre_annuaire_base_dn    — dc=...,dc=...
#   resoudre_annuaire_users_dn   — ou=people,dc=...
#   resoudre_annuaire_bind_dn    — cn=<service>,ou=services,dc=...
#   resoudre_annuaire_bind_password — secret déréférencé depuis la voûte (no_log)
- name: Exiger un domaine interne non vide
  ansible.builtin.assert:
    that:
      - domaine_interne is defined
      - domaine_interne | length > 0
    fail_msg: "domaine_interne doit être défini pour résoudre l'annuaire."

- name: Charger le registre des applications (hôte de l'annuaire)
  ansible.builtin.include_vars:
    file: "{{ setops_plan_dir }}/applications.yml"
  failed_when: false

# `default('', true)` ET PAS `default('')` — LA DIFFERENCE EST TOUT LE DEFAUT (2026-09-14).
#
# `.get('hote')` rend `None` quand l'application existe sans hote, et `default('')` ne
# remplace que l'INDEFINI : un `None` le traverse intact, puis `| length` le heurte :
#
#     object of type 'NoneType' has no len()
#
# Un message qui ne nomme ni l'annuaire, ni le role qui le demandait, ni la raison. Le
# second argument de `default` dit « remplace aussi ce qui est faux » — c'est-a-dire
# `None`, la chaine vide et zero.
- name: Dériver l'hôte de l'annuaire depuis le plan
  ansible.builtin.set_fact:
    resoudre_annuaire_hote: "{{ (applications | default({})).get(resoudre_annuaire_app, {}).get('hote') }}"
  when: ((applications | default({})).get(resoudre_annuaire_app, {}).get('hote') | default('', true)) | length > 0

# set_fact (pas les defaults) pour que ces valeurs persistent dans le rôle consommateur
# après include_role (les defaults du rôle inclus ne fuient pas hors de son exécution).
- name: Dériver la connexion à l'annuaire
  ansible.builtin.set_fact:
    resoudre_annuaire_fqdn: "{{ resoudre_annuaire_hote }}.{{ domaine_interne }}"
    resoudre_annuaire_uri: "{{ resoudre_annuaire_encryption }}://{{ resoudre_annuaire_hote }}.{{ domaine_interne }}"
    resoudre_annuaire_port: "{{ resoudre_annuaire_port }}"
    resoudre_annuaire_base_dn: "dc={{ domaine_interne.split('.') | join(',dc=') }}"
    resoudre_annuaire_users_dn: "ou=people,dc={{ domaine_interne.split('.') | join(',dc=') }}"
    resoudre_annuaire_bind_dn: >-
      cn={{ resoudre_annuaire_bind_cn }},{{ ('ou=' ~ resoudre_annuaire_bind_ou ~ ',')
      if resoudre_annuaire_bind_ou | length > 0 else '' }}dc={{ domaine_interne.split('.') | join(',dc=') }}

# UNE GARDE CENSUREE NE GARDE PAS (mesure du 2026-09-13). La premiere version
# dereferencait directement : quand le secret manquait, `lookup('vars', ...)` levait — et
# `no_log: true`, qui protege legitimement la VALEUR, masquait aussi la RAISON. Le
# deploiement s'arretait sur « the output has been hidden », ce qui ne designe rien.
#
# On dereference donc avec un repli, puis on refuse dans une tache SANS `no_log` : elle
# ne nomme que la cle absente, jamais son contenu.
- name: Déréférencer le mot de passe de bind (Vault)
  ansible.builtin.set_fact:
    resoudre_annuaire_bind_password: "{{ lookup('vars', resoudre_annuaire_secret, default='') }}"
  no_log: true

- name: Exiger que le compte de liaison ait un secret
  ansible.builtin.assert:
    that:
      - resoudre_annuaire_bind_password | length > 0
    fail_msg: >-
      Le compte de liaison « {{ resoudre_annuaire_bind_dn }} » n'a pas de secret :
      la cle « {{ resoudre_annuaire_secret }} » est absente ou vide dans la voute.
      Un role qui consomme l'annuaire doit nommer SON compte de service — voir
      roles/resoudre_annuaire/defaults/main.yml.