2026-06-24 20:17:46 -04:00
|
|
|
---
|
|
|
|
|
ssh_baseline_password_authentication: "no"
|
|
|
|
|
ssh_baseline_permit_root_login: "no"
|
|
|
|
|
ssh_baseline_pubkey_authentication: "yes"
|
2026-08-24 15:50:37 -04:00
|
|
|
|
|
|
|
|
# --- QUI A LE DROIT D'ENTRER --------------------------------------------------
|
|
|
|
|
#
|
|
|
|
|
# La cle du compte d'administration est posee par CLOUD-INIT, a la creation de la VM.
|
|
|
|
|
# Il n'existait donc aucun moyen declaratif d'en autoriser une SECONDE sur des machines
|
|
|
|
|
# deja nees — constate le 2026-08-24 : le poste d'exploitation fabriquait sa propre paire
|
|
|
|
|
# depuis son premier deploiement, et n'a jamais pu joindre un seul hote
|
|
|
|
|
# (`Permission denied (publickey)`).
|
|
|
|
|
#
|
|
|
|
|
# CHAQUE ENTREE PORTE SON `etat`, ET C'EST DELIBERE. Une liste purement additive ne sait
|
|
|
|
|
# pas RETIRER : une cle autorisee une fois le resterait pour toujours, et « revoquer »
|
|
|
|
|
# voudrait dire se connecter a la main sur chaque machine. Ici, passer une entree a
|
|
|
|
|
# `absent` la retire au prochain passage, sur toute la flotte.
|
|
|
|
|
#
|
|
|
|
|
# ON N'UTILISE PAS `exclusive: true` : il effacerait la cle posee par cloud-init si le
|
|
|
|
|
# plan ne la reprenait pas, et fermerait la flotte a tout le monde d'un seul deploiement.
|
|
|
|
|
# Le prix de ce choix est qu'une cle posee HORS du plan ne sera pas detectee ici.
|
|
|
|
|
#
|
|
|
|
|
# ssh_baseline_cles_admin:
|
|
|
|
|
# - cle: "ssh-ed25519 AAAA… setops@ops-01.exemple.internal"
|
|
|
|
|
# pourquoi: "poste d'exploitation — configure la flotte"
|
|
|
|
|
# etat: present # `absent` pour revoquer
|
|
|
|
|
ssh_baseline_admin_user: "{{ sudo_ansible_admin_user | default('ansible') }}"
|
|
|
|
|
ssh_baseline_cles_admin: []
|
