DRY : rôle utilitaire partagé resoudre_base (résolution BD depuis le registre)

Le bloc copié-collé dans keycloak/forgejo/icinga (charger le registre,
filtrer par consommateur, déréférencer le secret via lookup('vars'),
résoudre hôte/port) extrait dans roles/resoudre_base (facts génériques,
no_log). Les 3 rôles l'incluent + adoptent les facts. Le secret ne quitte
toujours pas le rôle.

Fait « sur la preuve » : re-déploiement keycloak + forgejo failed=0,
idempotent, testmail token Keycloak HTTP 200. Ferme le reste de la Phase 2
des bindings.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

CHANGELOG.md

@@ -16,6 +16,14 @@
   (le vrai MTA) ; `app.ini` doit appartenir au user `git` (Forgejo persiste des secrets générés) ;
   ordre admin/migrations (`flush_handlers` + `wait_for` avant `admin user create`) ; `HTTP_ADDR`
   `127.0.0.1`→`0.0.0.0` (l'edge nginx est sur un autre hôte, 502 sinon) ; auto-enregistrement OIDC.
+- **DRY : rôle utilitaire partagé `resoudre_base` (résolution BD depuis le registre).** Le bloc
+  copié-collé dans `serveur_keycloak`, `serveur_forgejo` et `serveur_icinga` (charger le registre,
+  filtrer par consommateur, déréférencer le secret via `lookup('vars', ...)`, résoudre hôte/port)
+  est extrait dans `roles/resoudre_base` (facts `resoudre_base_entree/db_password/db_host/db_port`,
+  `no_log`). Les 3 rôles l'incluent (`include_role`) et adoptent les facts. Le secret **ne quitte
+  toujours pas le rôle** (déréférencé au déploiement). **Fait « sur la preuve »** : re-déploiement
+  keycloak + forgejo `failed=0`, idempotent, `testmail` token Keycloak HTTP 200. Ferme le reste
+  noté de la Phase 2 des bindings (cf. `docs/bindings-conception.md`).
 - **PowerDNS — A d'exposition auto-dérivés (le DNS de la Phase 3 des bindings).** `serveur_powerdns`
   génère désormais, dans la zone interne, un enregistrement A pour chaque FQDN d'exposition (champ
   `expose` des applications) vers l'**edge qui le sert** (`domaines.edge`) — via

roles/resoudre_base/tasks/main.yml

@@ -0,0 +1,41 @@
+---
+# Rôle utilitaire (pas un groupe déployable) : résout l'entrée de base d'un
+# consommateur depuis le registre partagé plan/bases-donnees.yml.
+#
+# Entrée : resoudre_base_groupe — le groupe consommateur (ex. serveur_keycloak).
+# Sorties (facts) :
+#   resoudre_base_entree       — l'entrée du registre {base, proprietaire, secret, serveur, ...}
+#   resoudre_base_db_password  — mot de passe déréférencé depuis la voûte (no_log)
+#   resoudre_base_db_host      — hôte du serveur de base
+#   resoudre_base_db_port      — port du serveur de base (défaut 5432)
+#
+# Le secret ne quitte jamais le rôle consommateur (déréférencé par lookup('vars', ...)).
+- name: Charger le registre des bases applicatives
+  ansible.builtin.include_vars:
+    file: "{{ setops_plan_dir }}/bases-donnees.yml"
+
+- name: Résoudre l'entrée de base (par consommateur)
+  ansible.builtin.set_fact:
+    resoudre_base_entree: >-
+      {{ ((bases_donnees | default({})) | dict2items
+          | selectattr('value.consommateur', 'defined')
+          | selectattr('value.consommateur', 'equalto', resoudre_base_groupe)
+          | map(attribute='value') | list | first) | default({}) }}
+
+- name: Exiger une entrée de registre et son secret
+  ansible.builtin.assert:
+    that:
+      - resoudre_base_entree.base is defined
+      - resoudre_base_entree.proprietaire is defined
+      - resoudre_base_entree.secret is defined
+    fail_msg: "Aucune base avec consommateur '{{ resoudre_base_groupe }}' dans instance/plan/bases-donnees.yml."
+
+- name: Résoudre le mot de passe de base (Vault)
+  ansible.builtin.set_fact:
+    resoudre_base_db_password: "{{ lookup('vars', resoudre_base_entree.secret) }}"
+  no_log: true
+
+- name: Résoudre l'hôte et le port du serveur de base (registre)
+  ansible.builtin.set_fact:
+    resoudre_base_db_host: "{{ (serveurs_bd | default({}))[resoudre_base_entree.serveur].hote }}"
+    resoudre_base_db_port: "{{ (serveurs_bd | default({}))[resoudre_base_entree.serveur].port | default(5432) }}"

roles/serveur_forgejo/tasks/main.yml

@@ -7,38 +7,20 @@
       - serveur_forgejo_admin_password | length > 0
     fail_msg: "secret_key, internal_token et admin_password sont requis (Ansible Vault)."
 
-- name: Charger le registre des bases applicatives
-  ansible.builtin.include_vars:
-    file: "{{ setops_plan_dir }}/bases-donnees.yml"
+- name: Resoudre la base de donnees depuis le registre (role partage)
+  ansible.builtin.include_role:
+    name: resoudre_base
+  vars:
+    resoudre_base_groupe: "{{ serveur_forgejo_groupe }}"
 
-- name: Resoudre l'entree de base Forgejo (par consommateur)
+- name: Adopter les facts de base pour Forgejo
   ansible.builtin.set_fact:
-    serveur_forgejo_entree: >-
-      {{ ((bases_donnees | default({})) | dict2items
-          | selectattr('value.consommateur', 'defined')
-          | selectattr('value.consommateur', 'equalto', serveur_forgejo_groupe)
-          | map(attribute='value') | list | first) | default({}) }}
-
-- name: Exiger l'entree de registre et son secret
-  ansible.builtin.assert:
-    that:
-      - serveur_forgejo_entree.base is defined
-      - serveur_forgejo_entree.secret is defined
-    fail_msg: "Aucune base avec consommateur '{{ serveur_forgejo_groupe }}' dans instance/plan/bases-donnees.yml."
-
-- name: Resoudre le mot de passe de base (Vault)
-  ansible.builtin.set_fact:
-    serveur_forgejo_db_password: "{{ lookup('vars', serveur_forgejo_entree.secret) }}"
+    serveur_forgejo_entree: "{{ resoudre_base_entree }}"
+    serveur_forgejo_db_password: "{{ resoudre_base_db_password }}"
+    serveur_forgejo_db_host: "{{ resoudre_base_db_host }}"
+    serveur_forgejo_db_port: "{{ resoudre_base_db_port }}"
   no_log: true
 
-- name: Resoudre l'hote et le port du serveur de base de donnees (registre)
-  ansible.builtin.set_fact:
-    serveur_forgejo_db_host: >-
-      {{ (serveurs_bd | default({}))[serveur_forgejo_entree.serveur].hote
-         | default(serveur_forgejo_db_host) }}
-    serveur_forgejo_db_port: >-
-      {{ (serveurs_bd | default({}))[serveur_forgejo_entree.serveur].port | default(5432) }}
-
 - name: Creer l'utilisateur systeme git
   ansible.builtin.user:
     name: "{{ serveur_forgejo_utilisateur }}"

roles/serveur_icinga/tasks/main.yml

@@ -22,36 +22,19 @@
     state: present
     update_cache: true
 
-- name: Charger le registre des bases applicatives
-  ansible.builtin.include_vars:
-    file: "{{ setops_plan_dir }}/bases-donnees.yml"
+- name: Resoudre la base de donnees depuis le registre (role partage)
+  ansible.builtin.include_role:
+    name: resoudre_base
+  vars:
+    resoudre_base_groupe: "{{ serveur_icinga_groupe }}"
 
-- name: Resoudre l'entree de base Icinga DB (par consommateur)
+- name: Adopter les facts de base pour Icinga
   ansible.builtin.set_fact:
-    serveur_icinga_entree: >-
-      {{ ((bases_donnees | default({})) | dict2items
-          | selectattr('value.consommateur', 'defined')
-          | selectattr('value.consommateur', 'equalto', serveur_icinga_groupe)
-          | map(attribute='value') | list | first) | default({}) }}
-
-- name: Exiger l'entree de registre et son secret
-  ansible.builtin.assert:
-    that:
-      - serveur_icinga_entree.base is defined
-      - serveur_icinga_entree.secret is defined
-    fail_msg: "Aucune base avec consommateur '{{ serveur_icinga_groupe }}' dans instance/plan/bases-donnees.yml."
-
-- name: Resoudre le mot de passe de base (Vault)
-  ansible.builtin.set_fact:
-    serveur_icinga_db_password: "{{ lookup('vars', serveur_icinga_entree.secret) }}"
+    serveur_icinga_entree: "{{ resoudre_base_entree }}"
+    serveur_icinga_db_password: "{{ resoudre_base_db_password }}"
+    serveur_icinga_db_host: "{{ resoudre_base_db_host }}"
   no_log: true
 
-- name: Resoudre l'hote du serveur de base de donnees (registre)
-  ansible.builtin.set_fact:
-    serveur_icinga_db_host: >-
-      {{ (serveurs_bd | default({}))[serveur_icinga_entree.serveur].hote
-         | default(serveur_icinga_db_host) }}
-
 - name: Configurer l'API Icinga 2
   ansible.builtin.command:
     cmd: icinga2 api setup

roles/serveur_keycloak/tasks/main.yml

@@ -5,37 +5,19 @@
       - serveur_keycloak_admin_password | length > 0
     fail_msg: "serveur_keycloak_admin_password est requis (Ansible Vault)."
 
-- name: Charger le registre des bases applicatives
-  ansible.builtin.include_vars:
-    file: "{{ setops_plan_dir }}/bases-donnees.yml"
+- name: Resoudre la base de donnees depuis le registre (role partage)
+  ansible.builtin.include_role:
+    name: resoudre_base
+  vars:
+    resoudre_base_groupe: "{{ serveur_keycloak_groupe }}"
 
-- name: Resoudre l'entree de base de donnees Keycloak (par consommateur)
+- name: Adopter les facts de base pour Keycloak
   ansible.builtin.set_fact:
-    serveur_keycloak_entree: >-
-      {{ ((bases_donnees | default({})) | dict2items
-          | selectattr('value.consommateur', 'defined')
-          | selectattr('value.consommateur', 'equalto', serveur_keycloak_groupe)
-          | map(attribute='value') | list | first) | default({}) }}
-
-- name: Exiger une entree de registre et son secret
-  ansible.builtin.assert:
-    that:
-      - serveur_keycloak_entree.base is defined
-      - serveur_keycloak_entree.proprietaire is defined
-      - serveur_keycloak_entree.secret is defined
-    fail_msg: "Aucune base avec consommateur '{{ serveur_keycloak_groupe }}' dans instance/plan/bases-donnees.yml."
-
-- name: Resoudre le mot de passe de base de donnees (Vault)
-  ansible.builtin.set_fact:
-    serveur_keycloak_db_password: "{{ lookup('vars', serveur_keycloak_entree.secret) }}"
+    serveur_keycloak_entree: "{{ resoudre_base_entree }}"
+    serveur_keycloak_db_password: "{{ resoudre_base_db_password }}"
+    serveur_keycloak_db_host: "{{ resoudre_base_db_host }}"
   no_log: true
 
-- name: Resoudre l'hote du serveur de base de donnees (registre)
-  ansible.builtin.set_fact:
-    serveur_keycloak_db_host: >-
-      {{ (serveurs_bd | default({}))[serveur_keycloak_entree.serveur].hote
-         | default(serveur_keycloak_db_host) }}
-
 - name: Installer le JRE
   ansible.builtin.apt:
     name: "{{ serveur_keycloak_java_paquet }}"