---
- name: Exiger les intrants du runner de site
  ansible.builtin.assert:
    that:
      - serveur_ops_site_depot | length > 0
      - (not (serveur_ops_site_voute_deposer | bool)) or (serveur_ops_site_voute_source | length > 0)
    fail_msg: >-
      serveur_ops_site exige `serveur_ops_site_depot` (le dossier du dépôt SITE chez le
      runner, cloné par serveur_ops) et, si le dépôt de la voûte est demandé,
      `serveur_ops_site_voute_source` (le chemin de `underlay.vault.yml` sur le contrôleur).

- name: Le dépôt du SITE est-il bien là ?
  ansible.builtin.stat:
    path: "{{ serveur_ops_site_racine }}/{{ serveur_ops_site_depot }}/underlay.yml"
  register: serveur_ops_site_carte

- name: Refuser si la carte de la fabric manque
  ansible.builtin.assert:
    that:
      - serveur_ops_site_carte.stat.exists
    fail_msg: >-
      {{ serveur_ops_site_racine }}/{{ serveur_ops_site_depot }}/underlay.yml est absent.
      Déclarer ce dépôt dans `serveur_ops_depots` (role: hebergeur) et rejouer serveur_ops :
      un runner de site sans carte ne sait pas sur quoi il matérialise.
  when: not ansible_check_mode

# LES CLÉS DU MONDE PHYSIQUE, DE DROIT ET NON PAR EMPRUNT.
#
# `decrypt: no` : voir defaults/main.yml. Le fichier reste chiffré ; seul le mot de passe,
# tapé à l'exécution, l'ouvre.
- name: Déposer la voûte du SITE (chiffrée)
  ansible.builtin.copy:
    src: "{{ serveur_ops_site_voute_source }}"
    dest: "{{ serveur_ops_site_racine }}/{{ serveur_ops_site_depot }}/underlay.vault.yml"
    owner: "{{ serveur_ops_site_utilisateur }}"
    group: "{{ serveur_ops_site_utilisateur }}"
    mode: "0600"
    decrypt: false
  when:
    - serveur_ops_site_voute_deposer | bool
    - not ansible_check_mode

# ÉCRIRE, PUIS RELIRE (D-68). Une voûte déchiffrée par accident est une fuite silencieuse :
# le fichier existe, le rôle se dit satisfait, et les clés du cluster dorment en clair.
- name: Relire l'en-tête de la voûte déposée
  ansible.builtin.command:
    cmd: "head -c 21 {{ serveur_ops_site_racine }}/{{ serveur_ops_site_depot }}/underlay.vault.yml"
  register: serveur_ops_site_entete
  changed_when: false
  when:
    - serveur_ops_site_voute_deposer | bool
    - not ansible_check_mode

- name: Exiger que la voûte déposée soit CHIFFRÉE
  ansible.builtin.assert:
    that:
      - "'$ANSIBLE_VAULT' in serveur_ops_site_entete.stdout"
    fail_msg: >-
      La voûte déposée n'est PAS chiffrée — elle a été déchiffrée en transit.
      Vérifier `decrypt: false` sur la copie. Détruire le fichier au shred et
      considérer les justificatifs du cluster comme exposés.
  when:
    - serveur_ops_site_voute_deposer | bool
    - not ansible_check_mode