#!/bin/bash
# GENERE par Set-OPS (role serveur_step_ca). Ne pas editer a la main.
#
# SONDE « autorite » — l'autorite de certification repond et sa racine est valide
#
# Contrat : docs/supervision-conception.md (API des greffons Nagios) — une ligne, 0/1/2.
# Mise en defaut PAR PARAMETRE : `serveur_step_ca_sonde_url` (port ferme).
set -uo pipefail

URL={{ serveur_step_ca_sonde_url }}
RACINE={{ serveur_step_ca_sonde_racine }}
JOURS={{ serveur_step_ca_sonde_racine_jours }}

s=$(curl -sk --max-time 10 "${URL}/health" 2>/dev/null)
printf '%s' "${s}" | grep -q '"status"[[:space:]]*:[[:space:]]*"ok"' \
  || { echo "L'autorite ne repond pas sur ${URL} — plus aucun certificat ne se renouvellera, et ils vivent 24 h."; exit 2; }

# LA RACINE, DONT PERSONNE NE SURVEILLE L'EXPIRATION. Elle vit des ANNEES, donc on n'y
# pense jamais — et le jour ou elle expire, toute la confiance interne tombe d'un bloc,
# sans qu'aucun renouvellement de certificat d'hote n'y change quoi que ce soit.
if [[ -r "${RACINE}" ]]; then
  fin=$(openssl x509 -in "${RACINE}" -noout -enddate 2>/dev/null | cut -d= -f2)
  if [[ -n "${fin}" ]]; then
    reste=$(( ( $(date -d "${fin}" +%s) - $(date +%s) ) / 86400 ))
    if (( reste <= JOURS )); then
      echo "AUTORITE VIVANTE, mais sa RACINE expire dans ${reste} jour(s) — toute la confiance interne tombera d'un bloc.|racine=${reste}j;${JOURS};0;;"
      exit 2
    fi
    echo "Autorite vivante ; racine valide ${reste} jour(s).|racine=${reste}j;${JOURS};0;;"
    exit 0
  fi
fi
echo "Autorite vivante (racine non lisible depuis cet hote)."