---
- name: Appliquer le groupe serveur_openldap
  hosts: serveur_openldap
  become: true
  # Le verrou dpkg est tenu par les maj automatiques de Debian, par vagues, plusieurs
  # minutes apres le premier demarrage. Pose ICI plutot que dans chaque role : toute
  # tache apt du play en herite, y compris celles des roles inclus.
  module_defaults:
    ansible.builtin.apt:
      lock_timeout: 300

  gather_facts: true

  pre_tasks:
    - name: Vérifier que la cible est Debian
      ansible.builtin.assert:
        that:
          - ansible_facts.distribution == "Debian"
        fail_msg: "Ce playbook est prévu pour Debian."

  roles:
    - serveur_openldap
    # L'AMORCAGE DES ACCES suit l'annuaire, il ne se declare pas au plan : il
    # ecrit par `ldapi:///` (socket locale) et doit donc tourner ICI. Le declarer
    # comme groupe obligerait chaque instance a le poser sur le bon hote — et les
    # instances ne nomment pas cet hote pareil (`idm-01` ici, `id-ldap-01` la).
    #
    # Rejoue a chaque deploiement, et c'est voulu : il est idempotent PAR
    # EXISTENCE (D-67). Compte present -> aucune action, quel que soit son etat.
    - amorcage_acces