---
- name: Appliquer le groupe serveur_durci
  hosts: serveur_durci
  become: true
  # Le verrou dpkg est tenu par les maj automatiques de Debian, par vagues, plusieurs
  # minutes apres le premier demarrage. Pose ICI plutot que dans chaque role : toute
  # tache apt du play en herite, y compris celles des roles inclus.
  module_defaults:
    ansible.builtin.apt:
      lock_timeout: 300

  gather_facts: true

  pre_tasks:
    - name: Vérifier que la cible est Debian
      ansible.builtin.assert:
        that:
          - ansible_facts.distribution == "Debian"
        fail_msg: "Ce playbook est prévu pour Debian."

  roles:
    - hardening_packages
    - sysctl_hardening
    - core_dumps
    - unattended_upgrades
    - apparmor
    - auditd
    - fail2ban_ssh
    - journald
    - ssh_hardening
    - nftables_baseline
    # EN DERNIER, ET C'EST LE POINT. cloud-init a donne a la VM son adresse, son nom et
    # ses cles d'hote a la premiere seconde ; c'est parce qu'il a REUSSI qu'Ansible a pu
    # entrer. Mais il se reveille a CHAQUE demarrage et relit le lecteur attache par
    # l'hyperviseur, qui peut redefinir comptes, cles SSH, mots de passe et reseau. Sur
    # une machine que le plan possede desormais, c'est un second maitre — que le plan ne
    # decrit pas, et qui parle en premier.
    #
    # Il est retire ICI et pas ailleurs : apres que tout le reste soit pose, pour que la
    # machine ne depende plus de rien qu'il aurait fourni.
    - cloud_init_retrait