Daniel Allaire
6a62f0a4c7
Directive : toute authentification web passe par Keycloak, LDAP est la source unique des comptes, chaque service garde un accès de secours par sudo sur l'hôte. Les trois sont indissociables — la chaîne service → Keycloak → LDAP est en série, donc sans secours une panne exclut tout le monde, y compris pour réparer. Portée : le web seulement ; IMAP/SMTP se lient à LDAP directement et SSH est en clé seule. Posture <rôle>_connexion_locale, false par défaut. Le compte local existe — il ne peut pas dépendre de Keycloak — mais son formulaire n'est plus proposé au repos : ouvert en permanence, il contourne la politique de mot de passe, le MFA et surtout la révocation centrale. Vérifié auprès de l'amont, puis par rendu réel des gabarits dans les deux postures : - Grafana GF_AUTH_DISABLE_LOGIN_FORM → ferme ; - Forgejo ENABLE_INTERNAL_SIGNIN + ENABLE_BASIC_AUTHENTICATION → ferme, API Basic comprise. N'existe que depuis la v10 (ticket amont 7476) ; le rôle épingle 10.0.0 et un assert refuse la fermeture en deçà, car le réglage serait ignoré sans erreur ; - Nextcloud hide_login_form → MASQUE seulement : ?direct=1 reste le chemin de secours documenté par l'amont. Écrit comme tel, sans prétendre à l'équivalence. Défaut attrapé par le rendu : la condition Forgejo sans `| bool` n'émettait rien dans aucune posture — une valeur en chaîne est vraie au sens Jinja, la connexion locale serait restée ouverte en silence. docs/authentification.md, décisions D-38 à D-41. ansible-lint (production) sans échec, 28 preuves OK. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
49 lines
2 KiB
YAML
49 lines
2 KiB
YAML
---
|
|
- name: SSO OIDC (occ, en www-data avec TLS PG)
|
|
become: true
|
|
become_user: "{{ serveur_nextcloud_utilisateur }}"
|
|
environment:
|
|
PGSSLMODE: "{{ serveur_nextcloud_pg_sslmode }}"
|
|
PGSSLROOTCERT: "{{ serveur_nextcloud_ca_racine }}"
|
|
when: not ansible_check_mode
|
|
block:
|
|
- name: Installer + activer l'app user_oidc (idempotent)
|
|
ansible.builtin.shell:
|
|
executable: /bin/bash
|
|
cmd: |
|
|
set -eo pipefail
|
|
OCC="php {{ serveur_nextcloud_racine }}/occ"
|
|
if $OCC app:list | grep -qw user_oidc; then echo SETOPS_OK; else $OCC app:install user_oidc && echo SETOPS_CHANGED; fi
|
|
register: serveur_nextcloud_oidc_app
|
|
changed_when: "'SETOPS_CHANGED' in serveur_nextcloud_oidc_app.stdout"
|
|
|
|
- name: Ne plus annoncer le formulaire de connexion locale
|
|
# Masquage, pas fermeture : `?direct=1` reste le chemin de secours documente par
|
|
# l'amont. Voir serveur_nextcloud_connexion_locale dans defaults/main.yml.
|
|
ansible.builtin.command:
|
|
argv:
|
|
- php
|
|
- "{{ serveur_nextcloud_racine }}/occ"
|
|
- "config:system:set"
|
|
- "hide_login_form"
|
|
- "--type=boolean"
|
|
- "--value={{ 'false' if serveur_nextcloud_connexion_locale | bool else 'true' }}"
|
|
changed_when: false
|
|
|
|
- name: Configurer le fournisseur OIDC Keycloak (upsert idempotent)
|
|
ansible.builtin.command:
|
|
argv:
|
|
- php
|
|
- "{{ serveur_nextcloud_racine }}/occ"
|
|
- "user_oidc:provider"
|
|
- "{{ serveur_nextcloud_oidc_nom }}"
|
|
- "--clientid={{ serveur_nextcloud_oidc_client_id }}"
|
|
- "--clientsecret={{ serveur_nextcloud_oidc_client_secret }}"
|
|
- "--discoveryuri={{ serveur_nextcloud_oidc_discovery }}"
|
|
- "--scope=openid email profile"
|
|
- "--mapping-uid=preferred_username"
|
|
- "--mapping-email=email"
|
|
- "--mapping-display-name=name"
|
|
- "--unique-uid=0"
|
|
changed_when: false
|
|
no_log: true
|