Zéro-confiance : IcingaDB→PG en TLS vérifié (cert step-ca)

config.yml database : tls: true + ca: root_ca step-ca. root_ca déjà 0644
(fix client_pki). Prouvé sur sup-01 : icingadb actif, log 'pgsql+tls://',
aucune erreur TLS. 3e et dernier client BD sur verify-full.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

roles/serveur_icinga/defaults/main.yml

@@ -26,3 +26,8 @@ serveur_icinga_redis_port: 6380
 
 serveur_icinga_config: "/etc/icingadb/config.yml"
 serveur_icinga_schema: "/usr/share/icingadb/schema/pgsql/schema.sql"
+
+# TLS vers PostgreSQL (zero-confiance). true = IcingaDB verifie le cert serveur
+# contre le root_ca step-ca (host dans le SAN). root_ca doit etre lisible (0644).
+serveur_icinga_db_tls: false
+serveur_icinga_db_ca: "/etc/step/certs/root_ca.crt"

roles/serveur_icinga/templates/config.yml.j2

@@ -5,6 +5,10 @@ database:
   database: {{ serveur_icinga_entree.base }}
   user: {{ serveur_icinga_entree.proprietaire }}
   password: {{ serveur_icinga_db_password }}
+{% if serveur_icinga_db_tls | default(false) %}
+  tls: true
+  ca: {{ serveur_icinga_db_ca }}
+{% endif %}
 
 redis:
   host: {{ serveur_icinga_redis_host }}