From 889e9af97a8bbcc13a3303dadd0158a18146cfad Mon Sep 17 00:00:00 2001 From: Daniel Allaire Date: Fri, 3 Jul 2026 15:57:06 -0400 Subject: [PATCH] =?UTF-8?q?DRY=20:=20r=C3=B4le=20utilitaire=20partag=C3=A9?= =?UTF-8?q?=20resoudre=5Fbase=20(r=C3=A9solution=20BD=20depuis=20le=20regi?= =?UTF-8?q?stre)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Le bloc copié-collé dans keycloak/forgejo/icinga (charger le registre, filtrer par consommateur, déréférencer le secret via lookup('vars'), résoudre hôte/port) extrait dans roles/resoudre_base (facts génériques, no_log). Les 3 rôles l'incluent + adoptent les facts. Le secret ne quitte toujours pas le rôle. Fait « sur la preuve » : re-déploiement keycloak + forgejo failed=0, idempotent, testmail token Keycloak HTTP 200. Ferme le reste de la Phase 2 des bindings. Co-Authored-By: Claude Opus 4.8 --- CHANGELOG.md | 8 ++++++ roles/resoudre_base/tasks/main.yml | 41 +++++++++++++++++++++++++++ roles/serveur_forgejo/tasks/main.yml | 38 +++++++------------------ roles/serveur_icinga/tasks/main.yml | 35 ++++++----------------- roles/serveur_keycloak/tasks/main.yml | 36 ++++++----------------- 5 files changed, 77 insertions(+), 81 deletions(-) create mode 100644 roles/resoudre_base/tasks/main.yml diff --git a/CHANGELOG.md b/CHANGELOG.md index bd62e9b..7e2310f 100644 --- a/CHANGELOG.md +++ b/CHANGELOG.md @@ -16,6 +16,14 @@ (le vrai MTA) ; `app.ini` doit appartenir au user `git` (Forgejo persiste des secrets générés) ; ordre admin/migrations (`flush_handlers` + `wait_for` avant `admin user create`) ; `HTTP_ADDR` `127.0.0.1`→`0.0.0.0` (l'edge nginx est sur un autre hôte, 502 sinon) ; auto-enregistrement OIDC. +- **DRY : rôle utilitaire partagé `resoudre_base` (résolution BD depuis le registre).** Le bloc + copié-collé dans `serveur_keycloak`, `serveur_forgejo` et `serveur_icinga` (charger le registre, + filtrer par consommateur, déréférencer le secret via `lookup('vars', ...)`, résoudre hôte/port) + est extrait dans `roles/resoudre_base` (facts `resoudre_base_entree/db_password/db_host/db_port`, + `no_log`). Les 3 rôles l'incluent (`include_role`) et adoptent les facts. Le secret **ne quitte + toujours pas le rôle** (déréférencé au déploiement). **Fait « sur la preuve »** : re-déploiement + keycloak + forgejo `failed=0`, idempotent, `testmail` token Keycloak HTTP 200. Ferme le reste + noté de la Phase 2 des bindings (cf. `docs/bindings-conception.md`). - **PowerDNS — A d'exposition auto-dérivés (le DNS de la Phase 3 des bindings).** `serveur_powerdns` génère désormais, dans la zone interne, un enregistrement A pour chaque FQDN d'exposition (champ `expose` des applications) vers l'**edge qui le sert** (`domaines.edge`) — via diff --git a/roles/resoudre_base/tasks/main.yml b/roles/resoudre_base/tasks/main.yml new file mode 100644 index 0000000..e108b3e --- /dev/null +++ b/roles/resoudre_base/tasks/main.yml @@ -0,0 +1,41 @@ +--- +# Rôle utilitaire (pas un groupe déployable) : résout l'entrée de base d'un +# consommateur depuis le registre partagé plan/bases-donnees.yml. +# +# Entrée : resoudre_base_groupe — le groupe consommateur (ex. serveur_keycloak). +# Sorties (facts) : +# resoudre_base_entree — l'entrée du registre {base, proprietaire, secret, serveur, ...} +# resoudre_base_db_password — mot de passe déréférencé depuis la voûte (no_log) +# resoudre_base_db_host — hôte du serveur de base +# resoudre_base_db_port — port du serveur de base (défaut 5432) +# +# Le secret ne quitte jamais le rôle consommateur (déréférencé par lookup('vars', ...)). +- name: Charger le registre des bases applicatives + ansible.builtin.include_vars: + file: "{{ setops_plan_dir }}/bases-donnees.yml" + +- name: Résoudre l'entrée de base (par consommateur) + ansible.builtin.set_fact: + resoudre_base_entree: >- + {{ ((bases_donnees | default({})) | dict2items + | selectattr('value.consommateur', 'defined') + | selectattr('value.consommateur', 'equalto', resoudre_base_groupe) + | map(attribute='value') | list | first) | default({}) }} + +- name: Exiger une entrée de registre et son secret + ansible.builtin.assert: + that: + - resoudre_base_entree.base is defined + - resoudre_base_entree.proprietaire is defined + - resoudre_base_entree.secret is defined + fail_msg: "Aucune base avec consommateur '{{ resoudre_base_groupe }}' dans instance/plan/bases-donnees.yml." + +- name: Résoudre le mot de passe de base (Vault) + ansible.builtin.set_fact: + resoudre_base_db_password: "{{ lookup('vars', resoudre_base_entree.secret) }}" + no_log: true + +- name: Résoudre l'hôte et le port du serveur de base (registre) + ansible.builtin.set_fact: + resoudre_base_db_host: "{{ (serveurs_bd | default({}))[resoudre_base_entree.serveur].hote }}" + resoudre_base_db_port: "{{ (serveurs_bd | default({}))[resoudre_base_entree.serveur].port | default(5432) }}" diff --git a/roles/serveur_forgejo/tasks/main.yml b/roles/serveur_forgejo/tasks/main.yml index 7318f15..4930592 100644 --- a/roles/serveur_forgejo/tasks/main.yml +++ b/roles/serveur_forgejo/tasks/main.yml @@ -7,38 +7,20 @@ - serveur_forgejo_admin_password | length > 0 fail_msg: "secret_key, internal_token et admin_password sont requis (Ansible Vault)." -- name: Charger le registre des bases applicatives - ansible.builtin.include_vars: - file: "{{ setops_plan_dir }}/bases-donnees.yml" +- name: Resoudre la base de donnees depuis le registre (role partage) + ansible.builtin.include_role: + name: resoudre_base + vars: + resoudre_base_groupe: "{{ serveur_forgejo_groupe }}" -- name: Resoudre l'entree de base Forgejo (par consommateur) +- name: Adopter les facts de base pour Forgejo ansible.builtin.set_fact: - serveur_forgejo_entree: >- - {{ ((bases_donnees | default({})) | dict2items - | selectattr('value.consommateur', 'defined') - | selectattr('value.consommateur', 'equalto', serveur_forgejo_groupe) - | map(attribute='value') | list | first) | default({}) }} - -- name: Exiger l'entree de registre et son secret - ansible.builtin.assert: - that: - - serveur_forgejo_entree.base is defined - - serveur_forgejo_entree.secret is defined - fail_msg: "Aucune base avec consommateur '{{ serveur_forgejo_groupe }}' dans instance/plan/bases-donnees.yml." - -- name: Resoudre le mot de passe de base (Vault) - ansible.builtin.set_fact: - serveur_forgejo_db_password: "{{ lookup('vars', serveur_forgejo_entree.secret) }}" + serveur_forgejo_entree: "{{ resoudre_base_entree }}" + serveur_forgejo_db_password: "{{ resoudre_base_db_password }}" + serveur_forgejo_db_host: "{{ resoudre_base_db_host }}" + serveur_forgejo_db_port: "{{ resoudre_base_db_port }}" no_log: true -- name: Resoudre l'hote et le port du serveur de base de donnees (registre) - ansible.builtin.set_fact: - serveur_forgejo_db_host: >- - {{ (serveurs_bd | default({}))[serveur_forgejo_entree.serveur].hote - | default(serveur_forgejo_db_host) }} - serveur_forgejo_db_port: >- - {{ (serveurs_bd | default({}))[serveur_forgejo_entree.serveur].port | default(5432) }} - - name: Creer l'utilisateur systeme git ansible.builtin.user: name: "{{ serveur_forgejo_utilisateur }}" diff --git a/roles/serveur_icinga/tasks/main.yml b/roles/serveur_icinga/tasks/main.yml index d1a4a16..211f0e4 100644 --- a/roles/serveur_icinga/tasks/main.yml +++ b/roles/serveur_icinga/tasks/main.yml @@ -22,36 +22,19 @@ state: present update_cache: true -- name: Charger le registre des bases applicatives - ansible.builtin.include_vars: - file: "{{ setops_plan_dir }}/bases-donnees.yml" +- name: Resoudre la base de donnees depuis le registre (role partage) + ansible.builtin.include_role: + name: resoudre_base + vars: + resoudre_base_groupe: "{{ serveur_icinga_groupe }}" -- name: Resoudre l'entree de base Icinga DB (par consommateur) +- name: Adopter les facts de base pour Icinga ansible.builtin.set_fact: - serveur_icinga_entree: >- - {{ ((bases_donnees | default({})) | dict2items - | selectattr('value.consommateur', 'defined') - | selectattr('value.consommateur', 'equalto', serveur_icinga_groupe) - | map(attribute='value') | list | first) | default({}) }} - -- name: Exiger l'entree de registre et son secret - ansible.builtin.assert: - that: - - serveur_icinga_entree.base is defined - - serveur_icinga_entree.secret is defined - fail_msg: "Aucune base avec consommateur '{{ serveur_icinga_groupe }}' dans instance/plan/bases-donnees.yml." - -- name: Resoudre le mot de passe de base (Vault) - ansible.builtin.set_fact: - serveur_icinga_db_password: "{{ lookup('vars', serveur_icinga_entree.secret) }}" + serveur_icinga_entree: "{{ resoudre_base_entree }}" + serveur_icinga_db_password: "{{ resoudre_base_db_password }}" + serveur_icinga_db_host: "{{ resoudre_base_db_host }}" no_log: true -- name: Resoudre l'hote du serveur de base de donnees (registre) - ansible.builtin.set_fact: - serveur_icinga_db_host: >- - {{ (serveurs_bd | default({}))[serveur_icinga_entree.serveur].hote - | default(serveur_icinga_db_host) }} - - name: Configurer l'API Icinga 2 ansible.builtin.command: cmd: icinga2 api setup diff --git a/roles/serveur_keycloak/tasks/main.yml b/roles/serveur_keycloak/tasks/main.yml index 8e8a697..4a5ab2f 100644 --- a/roles/serveur_keycloak/tasks/main.yml +++ b/roles/serveur_keycloak/tasks/main.yml @@ -5,37 +5,19 @@ - serveur_keycloak_admin_password | length > 0 fail_msg: "serveur_keycloak_admin_password est requis (Ansible Vault)." -- name: Charger le registre des bases applicatives - ansible.builtin.include_vars: - file: "{{ setops_plan_dir }}/bases-donnees.yml" +- name: Resoudre la base de donnees depuis le registre (role partage) + ansible.builtin.include_role: + name: resoudre_base + vars: + resoudre_base_groupe: "{{ serveur_keycloak_groupe }}" -- name: Resoudre l'entree de base de donnees Keycloak (par consommateur) +- name: Adopter les facts de base pour Keycloak ansible.builtin.set_fact: - serveur_keycloak_entree: >- - {{ ((bases_donnees | default({})) | dict2items - | selectattr('value.consommateur', 'defined') - | selectattr('value.consommateur', 'equalto', serveur_keycloak_groupe) - | map(attribute='value') | list | first) | default({}) }} - -- name: Exiger une entree de registre et son secret - ansible.builtin.assert: - that: - - serveur_keycloak_entree.base is defined - - serveur_keycloak_entree.proprietaire is defined - - serveur_keycloak_entree.secret is defined - fail_msg: "Aucune base avec consommateur '{{ serveur_keycloak_groupe }}' dans instance/plan/bases-donnees.yml." - -- name: Resoudre le mot de passe de base de donnees (Vault) - ansible.builtin.set_fact: - serveur_keycloak_db_password: "{{ lookup('vars', serveur_keycloak_entree.secret) }}" + serveur_keycloak_entree: "{{ resoudre_base_entree }}" + serveur_keycloak_db_password: "{{ resoudre_base_db_password }}" + serveur_keycloak_db_host: "{{ resoudre_base_db_host }}" no_log: true -- name: Resoudre l'hote du serveur de base de donnees (registre) - ansible.builtin.set_fact: - serveur_keycloak_db_host: >- - {{ (serveurs_bd | default({}))[serveur_keycloak_entree.serveur].hote - | default(serveur_keycloak_db_host) }} - - name: Installer le JRE ansible.builtin.apt: name: "{{ serveur_keycloak_java_paquet }}"