---
- name: Paquets (python venv/pip, git, nginx)
  ansible.builtin.apt:
    name:
      - python3-venv
      - python3-pip
      - git
      - nginx
    state: present
    update_cache: true
    cache_valid_time: 3600

- name: Utilisateur de service des webapps
  ansible.builtin.user:
    name: "{{ serveur_web_dorsal_utilisateur }}"
    system: true
    home: "{{ serveur_web_dorsal_racine }}"
    shell: /usr/sbin/nologin
    create_home: false

- name: Creer la racine des webapps
  ansible.builtin.file:
    path: "{{ serveur_web_dorsal_racine }}"
    state: directory
    owner: root
    group: root
    mode: "0755"

# CE QUE LE DORSAL PORTAIT (2026-09-30). Les sites clones depuis la forge se refont
# seuls ; ce qui n'y vit pas revient d'ici, tant que la racine est vide.
- name: Restauration — la racine des webapps est-elle vierge ?
  ansible.builtin.find:
    paths: "{{ serveur_web_dorsal_racine }}"
    file_type: any
  register: serveur_web_dorsal_racine_initiale

- name: Restauration — serveur_web_dorsal d'une incarnation precedente ?
  ansible.builtin.include_role:
    name: client_backup
    tasks_from: restaurer.yml
  vars:
    client_backup_restaurer_jeu: serveur_web_dorsal
    client_backup_restaurer_vierge: "{{ serveur_web_dorsal_racine_initiale.matched | default(1) == 0 }}"

- name: Restauration — remettre serveur_web_dorsal
  changed_when: true
  ansible.builtin.command:
    argv: >-
      {{ ['/usr/local/sbin/setops-restaurer', 'fichiers',
          '--instantane', client_backup_restauration.instantane]
         + client_backup_restauration.chemins }}
  when: client_backup_restauration.etat == 'a_restaurer'

- name: Restauration — acter serveur_web_dorsal
  ansible.builtin.include_role:
    name: client_backup
    tasks_from: acter.yml
  vars:
    client_backup_acter_etat: restaure
  when: client_backup_restauration.etat == 'a_restaurer'


# LA CONFIANCE AVANT LE CLONE, LIMITEE A LA FORGE DU SITE (voir defaults/main.yml).
- name: Creer le repertoire de la racine de la forge du site
  ansible.builtin.file:
    path: "{{ serveur_web_dorsal_forge_site_ac_depot | dirname }}"
    state: directory
    owner: root
    group: root
    mode: "0755"
  when:
    - serveur_web_dorsal_forge_site | trim | length > 0
    - serveur_web_dorsal_forge_site_ac | trim | length > 0

- name: Deposer la racine de la forge du site
  ansible.builtin.copy:
    src: "{{ serveur_web_dorsal_forge_site_ac | trim }}"
    dest: "{{ serveur_web_dorsal_forge_site_ac_depot }}"
    owner: root
    group: root
    mode: "0644"
  when:
    - serveur_web_dorsal_forge_site | trim | length > 0
    - serveur_web_dorsal_forge_site_ac | trim | length > 0

- name: Limiter cette confiance a la forge du site, et a elle seule
  community.general.git_config:
    name: "http.{{ serveur_web_dorsal_forge_site | trim }}/.sslCAInfo"
    scope: global
    value: "{{ serveur_web_dorsal_forge_site_ac_depot }}"
  when:
    - serveur_web_dorsal_forge_site | trim | length > 0
    - serveur_web_dorsal_forge_site_ac | trim | length > 0
    - not ansible_check_mode

- name: Cloner / mettre a jour chaque app (clone superficiel)
  ansible.builtin.git:
    repo: "{{ item.depot }}"
    dest: "{{ serveur_web_dorsal_racine }}/{{ item.nom }}"
    version: "{{ item.branche | default('main') }}"
    depth: 1
    force: true
  loop: "{{ serveur_web_dorsal_apps }}"
  loop_control:
    label: "{{ item.nom }}"
  notify: Redemarrer les webapps

- name: Creer le venv + installer les dependances de chaque app
  ansible.builtin.pip:
    requirements: "{{ serveur_web_dorsal_racine }}/{{ item.nom }}/{{ item.requirements | default('requirements.txt') }}"
    virtualenv: "{{ serveur_web_dorsal_racine }}/{{ item.nom }}/.venv"
    virtualenv_command: python3 -m venv
  loop: "{{ serveur_web_dorsal_apps }}"
  loop_control:
    label: "{{ item.nom }}"
  notify: Redemarrer les webapps

- name: Repertoire d'etat persistant (apps avec data_dir)
  ansible.builtin.file:
    path: "{{ item.data_dir }}"
    state: directory
    owner: "{{ serveur_web_dorsal_utilisateur }}"
    group: "{{ serveur_web_dorsal_utilisateur }}"
    mode: "0750"
  loop: "{{ serveur_web_dorsal_apps }}"
  loop_control:
    label: "{{ item.nom }}"
  when: item.data_dir is defined

# Le code reste possede par root (lecture seule pour l'app = plus sur, et git
# reste idempotent : pas de "propriete douteuse" au pull). L'etat va dans data_dir.
- name: Deployer l'unite systemd de chaque app
  ansible.builtin.template:
    src: app.service.j2
    dest: "/etc/systemd/system/{{ item.nom }}.service"
    owner: root
    group: root
    mode: "0644"
  loop: "{{ serveur_web_dorsal_apps }}"
  loop_control:
    label: "{{ item.nom }}"
  notify: Redemarrer les webapps

- name: Deployer le vhost proxy local de chaque app
  ansible.builtin.template:
    src: proxy.conf.j2
    dest: "/etc/nginx/sites-available/{{ item.nom }}"
    owner: root
    group: root
    mode: "0644"
  loop: "{{ serveur_web_dorsal_apps }}"
  loop_control:
    label: "{{ item.nom }}"
  notify: Recharger nginx serveur_web_dorsal

- name: Activer le vhost proxy de chaque app
  ansible.builtin.file:
    src: "/etc/nginx/sites-available/{{ item.nom }}"
    dest: "/etc/nginx/sites-enabled/{{ item.nom }}"
    state: link
  loop: "{{ serveur_web_dorsal_apps }}"
  loop_control:
    label: "{{ item.nom }}"
  notify: Recharger nginx serveur_web_dorsal

- name: Activer et demarrer chaque webapp
  ansible.builtin.systemd:
    name: "{{ item.nom }}"
    enabled: true
    state: started
    daemon_reload: true
  loop: "{{ serveur_web_dorsal_apps }}"
  loop_control:
    label: "{{ item.nom }}"
  when: not ansible_check_mode

# LE SERVEUR PAR DEFAUT REFUSE TOUT NOM INCONNU (2026-09-29) — a la place du site Debian.
- name: Retirer le site nginx par defaut de Debian
  ansible.builtin.file:
    path: /etc/nginx/sites-enabled/default
    state: absent
  notify: Recharger nginx serveur_web_dorsal

- name: Deployer le serveur par defaut de Set-OPS
  ansible.builtin.template:
    src: defaut.conf.j2
    dest: /etc/nginx/sites-available/000-defaut.conf
    owner: root
    group: root
    mode: "0644"
  notify: Recharger nginx serveur_web_dorsal

- name: Activer le serveur par defaut de Set-OPS
  ansible.builtin.file:
    src: /etc/nginx/sites-available/000-defaut.conf
    dest: /etc/nginx/sites-enabled/000-defaut.conf
    state: link
    force: "{{ ansible_check_mode }}"
  notify: Recharger nginx serveur_web_dorsal

# LES SITES STATIQUES (2026-09-29) — repris du web frontal, qui ne sert plus rien lui-meme.
- name: Creer la racine des sites statiques
  ansible.builtin.file:
    path: "{{ serveur_web_dorsal_sites_racine }}"
    state: directory
    owner: root
    group: root
    mode: "0755"
  when: serveur_web_dorsal_sites | length > 0

- name: Cloner / mettre a jour le depot de chaque site (clone superficiel, contenu courant)
  ansible.builtin.git:
    repo: "{{ item.depot }}"
    dest: "{{ serveur_web_dorsal_sites_racine }}/{{ item.nom }}"
    version: "{{ item.branche | default('main') }}"
    depth: 1
    force: true
  loop: "{{ serveur_web_dorsal_sites }}"
  loop_control:
    label: "{{ item.nom }}"

- name: Deployer le vhost de chaque site
  ansible.builtin.template:
    src: site.conf.j2
    dest: "/etc/nginx/sites-available/site-{{ item.nom }}"
    owner: root
    group: root
    mode: "0644"
  loop: "{{ serveur_web_dorsal_sites }}"
  loop_control:
    label: "{{ item.nom }}"
  notify: Recharger nginx serveur_web_dorsal

- name: Activer le vhost de chaque site
  ansible.builtin.file:
    src: "/etc/nginx/sites-available/site-{{ item.nom }}"
    dest: "/etc/nginx/sites-enabled/site-{{ item.nom }}"
    state: link
  loop: "{{ serveur_web_dorsal_sites }}"
  loop_control:
    label: "{{ item.nom }}"
  notify: Recharger nginx serveur_web_dorsal

# LE ROLE QUI POSSEDE LA VERITE DEPOSE SA PROPRE SONDE. `client_sante` la fait tourner et
# pousse le resultat ; les greffons standard, eux, sont poses par le porteur.
#
# UNE WEBAPP NE TOMBE PRESQUE JAMAIS EN « FAILED » — elle se coince, et systemd la voit
# active. Le rapport d'unites en echec ne verra jamais ca : il faut frapper l'app.
- name: Assurer le repertoire des sondes de supervision
  ansible.builtin.file:
    path: /usr/local/lib/setops/sondes
    state: directory
    owner: root
    group: root
    mode: "0755"

- name: Deposer la sonde « apps-servies »
  ansible.builtin.template:
    src: sonde-apps-servies.sh.j2
    dest: /usr/local/lib/setops/sondes/apps-servies.sh
    owner: root
    group: root
    mode: "0750"

# LE CONTENU D'UN SITE N'EST PAS DANS CE ROLE : il arrive par git depuis une forge. Une
# branche renommee, un sous-dossier deplace ou un clone vide laissent nginx parfaitement
# vert. Seul un GET par `server_name` le dit.
- name: Deposer la sonde « sites-servis »
  ansible.builtin.template:
    src: sonde-sites-servis.sh.j2
    dest: /usr/local/lib/setops/sondes/sites-servis.sh
    owner: root
    group: root
    mode: "0750"