---
# Autorite de certification interne (Smallstep step-ca) + ACME.
serveur_step_ca_paquets:
  - step-cli
  - step-ca

# Depot apt officiel Smallstep.
serveur_step_ca_depot_cle_url: "{{ serveur_step_ca_depot_schema }}://packages.smallstep.com/keys/apt/repo-signing-key.gpg"
serveur_step_ca_depot_cle_fichier: "/etc/apt/keyrings/smallstep.asc"
serveur_step_ca_depot_uri: "{{ serveur_step_ca_depot_schema }}://packages.smallstep.com/stable/debian"
serveur_step_ca_depot_suite: "debs"

# Service.
serveur_step_ca_utilisateur: "step"
serveur_step_ca_steppath: "/etc/step-ca"
serveur_step_ca_service: "step-ca"

# Identite de l'AC.
serveur_step_ca_nom: "Set-OPS Internal CA"
serveur_step_ca_dns: "{{ ansible_fqdn | default(ansible_hostname) }},{{ ansible_host | default('127.0.0.1') }}"
serveur_step_ca_adresse: ":8443"
serveur_step_ca_provisioner: "admin@{{ domaine_interne }}"
serveur_step_ca_acme: true

# Secrets (Ansible Vault) — obligatoires pour l'initialisation.
serveur_step_ca_password: "{{ vault_step_ca_password | default('') }}"  # rempli depuis la voute (vault_step_ca_password)
serveur_step_ca_provisioner_password: "{{ vault_step_ca_provisioner_password | default('') }}"  # rempli depuis la voute (vault_step_ca_provisioner_password)

# --- Sonde de supervision -----------------------------------------------------------
serveur_step_ca_sonde_url: "https://127.0.0.1:8443"
serveur_step_ca_sonde_racine: "/etc/step/certs/root_ca.crt"
# Une racine se remplace par une operation lourde et coordonnee : trois mois d'avance
# n'est pas de la prudence, c'est le minimum pour l'organiser.
serveur_step_ca_sonde_racine_jours: 90

# --- SCHEMA DES DEPOTS TIERS (2026-09-10) --------------------------------------------
#
# `http` DES QU'UN CACHE EST DANS LE CHEMIN, `https` sinon. Ce n'est pas un relachement :
# le cache RELAIE ces depots en https vers le fournisseur (voir `serveur_artefacts`,
# `Remap-*`), et l'integrite vient des SIGNATURES du depot, qu'apt verifie de toute facon.
# Le meme raisonnement vaut deja pour `deb.debian.org` depuis toujours.
#
# Sans cette derivation, chaque machine sortait elle-meme sur Internet : le mandataire ne
# vaut que pour `http`, et le socle pose deliberement `Acquire::https::Proxy "DIRECT"`
# parce qu'un cache sans remap refuse les tunnels. Le remap leve ce refus ; encore
# faut-il DEMANDER en http.
#
# DEGRADE, JAMAIS DEVINE : pas de cache d'amorcage declare, pas de reecriture.
serveur_step_ca_depot_schema: >-
  {{ 'http' if (artefacts_amorcage | default('') | string | length > 0) else 'https' }}