---
# Enregistre les clients OIDC applicatifs dans le realm via kcadm — idempotent.
# Crée le client s'il est absent (confidentiel, authorization code). La réconciliation
# fine (mettre à jour un client existant) n'est pas faite : create-si-absent.
- name: Enregistrer les clients OIDC (kcadm, idempotent)
  ansible.builtin.shell:
    executable: /bin/bash
    cmd: |
      set -euo pipefail
      KC={{ serveur_keycloak_home }}/bin/kcadm.sh
      "$KC" config credentials --server http://localhost:8080 --realm master \
        --user {{ serveur_keycloak_admin_user }} --password "$KC_ADMIN_PW" >/dev/null
      if "$KC" get clients -r {{ serveur_keycloak_realm }} -q clientId={{ item.clientId }} 2>/dev/null \
          | grep -q '"{{ item.clientId }}"'; then
        echo SETOPS_OK
      else
        "$KC" create clients -r {{ serveur_keycloak_realm }} \
          -s clientId={{ item.clientId }} -s enabled=true -s protocol=openid-connect \
          -s publicClient=false -s standardFlowEnabled=true -s directAccessGrantsEnabled=false \
          -s 'redirectUris={{ item.redirect_uris | to_json }}' \
          -s 'webOrigins={{ item.web_origins | default([]) | to_json }}' \
          -s secret="$OIDC_SECRET" >/dev/null
        echo SETOPS_CHANGED
      fi
  environment:
    KC_ADMIN_PW: "{{ serveur_keycloak_admin_password }}"
    OIDC_SECRET: "{{ item.secret }}"
  loop: "{{ serveur_keycloak_clients }}"
  loop_control:
    label: "{{ item.clientId }}"
  register: serveur_keycloak_client_reg
  changed_when: "'SETOPS_CHANGED' in serveur_keycloak_client_reg.stdout"
  no_log: true
  when: not ansible_check_mode