Set-OPS-Public/roles/serveur_keycloak/tasks/main.yml

---

# Le nom d'hote de Keycloak EST son identite OIDC. Le fabriquer par convention
# (`keycloak.<domaine>`) produisait un nom que rien ne publie : le plan expose `auth`,
# l'edge sert `auth`, le DNS resout `auth` — et Keycloak s'annoncait `keycloak`. Tout
# client OIDC comparait les deux et refusait. Constate le 2026-08-07 sur oauth2-proxy :
# « issuer did not match the issuer returned by provider ».
- name: Charger les registres applications et domaines (expositions)
  ansible.builtin.include_vars:
    file: "{{ item }}"
  loop:
    - "{{ setops_plan_dir }}/applications.yml"
    - "{{ setops_plan_dir }}/domaines.yml"
  when: serveur_keycloak_hostname_derive | bool

- name: Dériver le nom d'hôte public depuis l'exposition déclarée
  ansible.builtin.set_fact:
    serveur_keycloak_hostname: >-
      {{ (applications | default({})).get('keycloak', {}).get('expose', []) | first }}      
  when:
    - serveur_keycloak_hostname_derive | bool
    - ((applications | default({})).get('keycloak', {}).get('expose', []) | length) > 0
- name: Exiger le mot de passe admin Keycloak (Vault)
  ansible.builtin.assert:
    that:
      - serveur_keycloak_admin_password | length > 0
    fail_msg: "serveur_keycloak_admin_password est requis (Ansible Vault)."

- name: Resoudre la base de donnees depuis le registre (role partage)
  ansible.builtin.include_role:
    name: resoudre_base
  vars:
    resoudre_base_groupe: "{{ serveur_keycloak_groupe }}"

- name: Adopter les facts de base pour Keycloak
  ansible.builtin.set_fact:
    serveur_keycloak_entree: "{{ resoudre_base_entree }}"
    serveur_keycloak_db_password: "{{ resoudre_base_db_password }}"
    serveur_keycloak_db_host: "{{ resoudre_base_db_host }}"
  no_log: true

- name: Resoudre l'annuaire (role partage)
  ansible.builtin.include_role:
    name: resoudre_annuaire
  vars:
    # SON compte, pas celui de l'administrateur de l'annuaire (2026-09-13).
    resoudre_annuaire_bind_cn: "keycloak"
    resoudre_annuaire_secret: "vault_ldap_bind_keycloak"
  when: serveur_keycloak_ldap_federation | bool

- name: Adopter la connexion annuaire pour Keycloak
  ansible.builtin.set_fact:
    serveur_keycloak_ldap_url: "{{ resoudre_annuaire_uri }}:{{ resoudre_annuaire_port }}"
    serveur_keycloak_ldap_users_dn: "{{ resoudre_annuaire_users_dn }}"
    serveur_keycloak_ldap_bind_dn: "{{ resoudre_annuaire_bind_dn }}"
    serveur_keycloak_ldap_bind_password: "{{ resoudre_annuaire_bind_password }}"
  no_log: true
  when: serveur_keycloak_ldap_federation | bool

- name: Installer le JRE
  ansible.builtin.apt:
    name: "{{ serveur_keycloak_java_paquet }}"
    state: present
    update_cache: true
    cache_valid_time: 3600

- name: Creer l'utilisateur systeme keycloak
  ansible.builtin.user:
    name: "{{ serveur_keycloak_utilisateur }}"
    system: true
    home: "{{ serveur_keycloak_home }}"
    create_home: false
    shell: /usr/sbin/nologin

- name: Creer le repertoire d'installation
  ansible.builtin.file:
    path: "{{ serveur_keycloak_home }}"
    state: directory
    owner: "{{ serveur_keycloak_utilisateur }}"
    group: "{{ serveur_keycloak_utilisateur }}"
    mode: "0750"

# Le chemin de destination PORTE la version : cet artefact est immuable une fois pose.
# Sans garde, `get_url` recontacte le serveur distant a CHAQUE deploiement — et un
# serveur tiers lent suffit alors a faire tomber un deploiement de flotte. Constate le
# 2026-08-09 sur le binaire Forgejo, meme motif ici.
# LE REPERE EST LA CONSTRUCTION DE CETTE VERSION, PAS L'ARCHIVE (2026-09-28). On regardait
# `/tmp/keycloak-<version>.tar.gz` : /tmp se vide, et l'archive repartait du controleur a
# CHAQUE deploiement — `changed` a tous les coups sur les deux locataires, pour un Keycloak
# deja extrait et construit. Le marqueur `.kc-built-<version>` dit exactement ce qu'on veut
# savoir : cette version est en place, rien a apporter.
- name: L artefact de cette version est-il deja pose ?
  ansible.builtin.stat:
    path: "{{ serveur_keycloak_home }}/.kc-built-{{ serveur_keycloak_version }}"
  register: serveur_keycloak_archive_present

# Le controleur telecharge, puis pousse par SSH — la cible ne tire jamais d'Internet.
# Motif explique en detail dans `roles/serveur_nextcloud/tasks/installer.yml`.
- name: Cache d artefacts du contrôleur
  ansible.builtin.file:
    path: "{{ serveur_keycloak_cache_local }}"
    state: directory
    mode: "0700"
  delegate_to: localhost
  become: false
  when: not serveur_keycloak_archive_present.stat.exists

# --- LE DEPOT DU SITE D'ABORD, L'INTERNET ENSUITE (2026-09-12) ----------------
#
# Le site tient ces artefacts dans son cache (`serveur_artefacts`, LocalDirs). Un runner
# qui les y trouve ne sort pas du tout : c'est le meme principe que le cache apt, applique
# aux publications qui ne vivent dans aucun depot apt.
#
# PLACEE AVANT LE `stat` DU CACHE DU CONTROLEUR, ET C'EST TOUT LE MONTAGE : si le depot
# sert le fichier, le `stat` qui suit le voit, et la tache de telechargement amont se
# saute d'elle-meme. Aucune tache existante n'a change.
#
# `failed_when: false` — le depot est une COMMODITE. Site sans depot, depot qui n'a pas
# encore cette version, cache du site tout neuf : on retombe sur l'amont, comme avant.
- name: Prendre l'archive Keycloak au dépôt du site, avant de sortir sur Internet
  ansible.builtin.get_url:
    url: "{{ setops_depot_binaires }}/keycloak-{{ serveur_keycloak_version }}.tar.gz"
    dest: "{{ serveur_keycloak_cache_local }}/keycloak-{{ serveur_keycloak_version }}.tar.gz"
    mode: "0644"
    timeout: 30
  delegate_to: localhost
  become: false
  failed_when: false
  when:
    - setops_depot_binaires | default('') | length > 0
    - not serveur_keycloak_archive_present.stat.exists

- name: L artefact est-il déjà dans le cache du contrôleur ?
  ansible.builtin.stat:
    path: "{{ serveur_keycloak_cache_local }}/keycloak-{{ serveur_keycloak_version }}.tar.gz"
  register: serveur_keycloak_cache_present
  delegate_to: localhost
  become: false
  when: not serveur_keycloak_archive_present.stat.exists

- name: Télécharger la distribution Keycloak dans le cache du contrôleur (une seule fois)
  ansible.builtin.get_url:
    url: "{{ serveur_keycloak_url }}"
    dest: "{{ serveur_keycloak_cache_local }}/keycloak-{{ serveur_keycloak_version }}.tar.gz"
    mode: "0644"
  delegate_to: localhost
  become: false
  when:
    - not serveur_keycloak_archive_present.stat.exists
    - not (serveur_keycloak_cache_present.stat.exists | default(false))

# VERIFIER LA SIGNATURE AVANT DE POSER QUOI QUE CE SOIT SUR UN HOTE.
#
# Keycloak signe les jetons de tout l'ecosysteme : une archive substituee ici, et
# l'identite entiere tombe. C'est le seul composant ou l'authenticite — QUI a produit ce
# fichier — compte plus que l'integrite.
#
# La verification tourne sur le CONTROLEUR, contre la cle versionnee du depot et
# l'empreinte epinglee. Elle ne consulte aucun serveur de cles : un serveur de cles n'est
# pas une autorite, et en dependre au moment du deploiement rendrait la garde aussi
# fragile que ce qu'elle protege.
# LA SIGNATURE AUSSI VIENT DU DEPOT QUAND IL L'A (2026-09-12). Elle pese 228 octets,
# mais elle est demandee a CHAQUE passage ou la cible n'a pas encore le binaire : sans
# elle ici, un ecosysteme entierement servi par le site sortirait quand meme sur Internet
# pour un quart de kilo-octet. Une sortie reste une sortie.
- name: Prendre la signature au dépôt du site, avant de sortir sur Internet
  ansible.builtin.get_url:
    url: "{{ setops_depot_binaires }}/keycloak-{{ serveur_keycloak_version }}.tar.gz.asc"
    dest: "{{ serveur_keycloak_cache_local }}/keycloak-{{ serveur_keycloak_version }}.tar.gz.asc"
    mode: "0644"
    timeout: 30
    force: true
  delegate_to: localhost
  become: false
  failed_when: false
  when:
    - setops_depot_binaires | default('') | length > 0
    - not serveur_keycloak_archive_present.stat.exists

# ON MESURE LE FICHIER, PAS LE VERDICT DE LA TACHE. `failed_when: false` REECRIT le
# verdict : la tache n'est plus jamais `failed`, donc une garde posee dessus est toujours
# vraie et ne garde rien. Le depot connait cette marche — elle a deja declare « joignable »
# un amont mesure muet la seconde d'avant. Ce qui compte ici, c'est qu'un fichier soit la.
- name: La signature est-elle arrivée dans le cache du contrôleur ?
  ansible.builtin.stat:
    path: "{{ serveur_keycloak_cache_local }}/keycloak-{{ serveur_keycloak_version }}.tar.gz.asc"
  register: serveur_keycloak_asc_present
  delegate_to: localhost
  become: false

- name: Récupérer la signature détachée de l archive
  ansible.builtin.get_url:
    url: "{{ serveur_keycloak_signature_url }}"
    dest: "{{ serveur_keycloak_cache_local }}/keycloak-{{ serveur_keycloak_version }}.tar.gz.asc"
    mode: "0644"
    force: true
  delegate_to: localhost
  become: false
  when:
    - not serveur_keycloak_archive_present.stat.exists
    # Le depot a servi : ne pas ressortir pour ecraser ce qu'on a deja.
    - not (serveur_keycloak_asc_present.stat.exists and (serveur_keycloak_asc_present.stat.size | default(0)) > 0)

- name: Vérifier la signature de l archive contre l empreinte épinglée
  ansible.builtin.command:
    argv:
      - python3
      - "{{ role_path }}/../../scripts/verifier_signature.py"
      - --artefact
      - "{{ serveur_keycloak_cache_local }}/keycloak-{{ serveur_keycloak_version }}.tar.gz"
      - --signature
      - "{{ serveur_keycloak_cache_local }}/keycloak-{{ serveur_keycloak_version }}.tar.gz.asc"
      - --cle
      - "{{ role_path }}/files/keycloak-release.asc"
      - --empreinte
      - "{{ serveur_keycloak_signature_empreinte }}"
  delegate_to: localhost
  become: false
  changed_when: false
  when: not serveur_keycloak_archive_present.stat.exists

- name: Déposer la distribution Keycloak sur l hôte depuis le cache
  ansible.builtin.copy:
    src: "{{ serveur_keycloak_cache_local }}/keycloak-{{ serveur_keycloak_version }}.tar.gz"
    dest: "/tmp/keycloak-{{ serveur_keycloak_version }}.tar.gz"
    mode: "0644"
  when: not serveur_keycloak_archive_present.stat.exists

# UNE NOUVELLE VERSION REMPLACE L'ANCIENNE, ELLE NE S'Y SUPERPOSE PAS (2026-10-03).
#
# L'extraction portait `creates: bin/kc.sh` : sur une machine deja installee, elle etait
# SAUTEE. `kc.sh build` tournait alors sur les anciens fichiers, puis posait le repere de la
# NOUVELLE version — la machine se serait dite en 26.7.5 en restant en 26.7.1. Trouve en
# preparant cette montee, avant tout deploiement.
#
# Et extraire par-dessus ne suffit pas : les bibliotheques portent leur version dans leur
# nom (`lib/lib/main/*-26.7.1.jar`), les deux generations coexisteraient sur le classpath.
# On retire donc la distribution precedente. Ce que le role pose lui-meme dans ce
# repertoire — `conf/keycloak.conf`, le theme, le repere — l'est APRES l'extraction ; on ne
# garde que `data/` (fichiers de travail) et le repertoire de travail d'Ansible.
- name: Une autre version est-elle en place ?
  ansible.builtin.stat:
    path: "{{ serveur_keycloak_home }}/bin/kc.sh"
  register: serveur_keycloak_distribution
  when: not serveur_keycloak_archive_present.stat.exists

- name: Mise a jour — arreter Keycloak avant de remplacer sa distribution
  ansible.builtin.systemd:
    name: "{{ serveur_keycloak_service }}"
    state: stopped
  when:
    - not serveur_keycloak_archive_present.stat.exists
    - serveur_keycloak_distribution.stat.exists | default(false)

- name: Mise a jour — retirer la distribution precedente (data/ gardee)
  ansible.builtin.command:
    argv:
      - find
      - "{{ serveur_keycloak_home }}"
      - -mindepth
      - "1"
      - -maxdepth
      - "1"
      - "!"
      - -name
      - data
      - "!"
      - -name
      - .ansible
      - -exec
      - rm
      - -rf
      - --
      - "{}"
      - +
  changed_when: true
  when:
    - not serveur_keycloak_archive_present.stat.exists
    - serveur_keycloak_distribution.stat.exists | default(false)

- name: Extraire Keycloak
  ansible.builtin.unarchive:
    src: "/tmp/keycloak-{{ serveur_keycloak_version }}.tar.gz"
    dest: "{{ serveur_keycloak_home }}"
    remote_src: true
    extra_opts: ["--strip-components=1"]
    owner: "{{ serveur_keycloak_utilisateur }}"
    group: "{{ serveur_keycloak_utilisateur }}"
  # En simulation, l'archive n'a pas ete copiee dans /tmp : rien a extraire.
  when:
    - not serveur_keycloak_archive_present.stat.exists
    - not ansible_check_mode

- name: Deployer keycloak.conf (config non sensible)
  ansible.builtin.template:
    src: keycloak.conf.j2
    dest: "{{ serveur_keycloak_home }}/conf/keycloak.conf"
    owner: "{{ serveur_keycloak_utilisateur }}"
    group: "{{ serveur_keycloak_utilisateur }}"
    mode: "0640"
  notify: Redemarrer keycloak

- name: Creer le repertoire de configuration des secrets
  ansible.builtin.file:
    path: /etc/keycloak
    state: directory
    owner: root
    group: "{{ serveur_keycloak_utilisateur }}"
    mode: "0750"

- name: Deployer le fichier d'environnement (secrets)
  ansible.builtin.template:
    src: keycloak.env.j2
    dest: /etc/keycloak/keycloak.env
    owner: root
    group: "{{ serveur_keycloak_utilisateur }}"
    mode: "0640"
  no_log: true
  notify: Redemarrer keycloak

- name: Construire Keycloak (une fois par version)
  ansible.builtin.shell:
    cmd: >-
      {{ serveur_keycloak_home }}/bin/kc.sh build --db=postgres
      && touch {{ serveur_keycloak_home }}/.kc-built-{{ serveur_keycloak_version }}      
    creates: "{{ serveur_keycloak_home }}/.kc-built-{{ serveur_keycloak_version }}"
  become: true
  become_user: "{{ serveur_keycloak_utilisateur }}"
  notify: Redemarrer keycloak

- name: Deployer l'unite systemd keycloak
  ansible.builtin.template:
    src: keycloak.service.j2
    dest: /etc/systemd/system/keycloak.service
    owner: root
    group: root
    mode: "0644"
  notify: Redemarrer keycloak

- name: Deployer les themes Set-OPS (identite Alliance Boreale)
  ansible.builtin.copy:
    src: themes/
    dest: "{{ serveur_keycloak_home }}/themes/"
    owner: "{{ serveur_keycloak_utilisateur }}"
    group: "{{ serveur_keycloak_utilisateur }}"
    mode: "0644"
    directory_mode: "0755"
  notify: Redemarrer keycloak

- name: Activer et demarrer keycloak
  when: not ansible_check_mode
  ansible.builtin.systemd:
    name: "{{ serveur_keycloak_service }}"
    enabled: true
    state: started
    daemon_reload: true

- name: Appliquer le theme (recharger Keycloak avant la config du realm)
  ansible.builtin.meta: flush_handlers

- name: Configurer la federation LDAP (realm + provider OpenLDAP)
  ansible.builtin.include_tasks: federation-ldap.yml
  when: serveur_keycloak_ldap_federation | bool

- name: Appliquer la politique de mot de passe et durcir la fédération
  ansible.builtin.include_tasks: politique-mdp.yml
  when: not ansible_check_mode

- name: Configurer le courriel du realm (« mot de passe oublié »)
  ansible.builtin.include_tasks: courriel-realm.yml
  when: serveur_keycloak_smtp_actif | bool

- name: Créer les rôles de realm (prérequis de la projection des groupes)
  ansible.builtin.include_tasks: roles-realm.yml
  when: not ansible_check_mode

- name: Projeter les groupes LDAP (mapper + roles de groupe)
  ansible.builtin.include_tasks: groupes-ldap.yml
  when:
    - serveur_keycloak_ldap_federation | bool
    - serveur_keycloak_groupes_ldap | bool

- name: Enregistrer les clients OIDC applicatifs
  ansible.builtin.include_tasks: clients-oidc.yml
  when: serveur_keycloak_clients | length > 0

- name: Émettre le claim de groupes dans le jeton des clients
  ansible.builtin.include_tasks: claim-groupes.yml
  when: not ansible_check_mode

- name: Déclarer les URI de retour après déconnexion
  ansible.builtin.include_tasks: deconnexion-oidc.yml
  when: not ansible_check_mode

- name: Configurer le RBAC OIDC (roles de realm + mapper + assignations)
  ansible.builtin.include_tasks: rbac-oidc.yml
  when: >
    serveur_keycloak_realm_roles | length > 0
    or serveur_keycloak_role_assignments | length > 0    

- name: Definir le theme de login du realm (identite Alliance Boreale)
  ansible.builtin.shell:
    executable: /bin/bash
    cmd: |
      set -euo pipefail
      KC={{ serveur_keycloak_home }}/bin/kcadm.sh
      "$KC" config credentials --server http://localhost:8080 --realm master \
        --user {{ serveur_keycloak_admin_user }} --password "$KC_ADMIN_PW" >/dev/null
      if "$KC" get realms/{{ serveur_keycloak_realm }} --fields loginTheme 2>/dev/null \
          | grep -q '"{{ serveur_keycloak_login_theme }}"'; then
        echo SETOPS_OK
      else
        "$KC" update realms/{{ serveur_keycloak_realm }} \
          -s loginTheme={{ serveur_keycloak_login_theme }} >/dev/null
        echo SETOPS_CHANGED
      fi      
  environment:
    KC_ADMIN_PW: "{{ serveur_keycloak_admin_password }}"
  register: serveur_keycloak_theme_res
  changed_when: "'SETOPS_CHANGED' in serveur_keycloak_theme_res.stdout"
  when:
    - serveur_keycloak_login_theme | length > 0
    - not ansible_check_mode

- name: Definir le theme de la console de compte (identite Alliance Boreale)
  ansible.builtin.shell:
    executable: /bin/bash
    cmd: |
      set -euo pipefail
      KC={{ serveur_keycloak_home }}/bin/kcadm.sh
      "$KC" config credentials --server http://localhost:8080 --realm master \
        --user {{ serveur_keycloak_admin_user }} --password "$KC_ADMIN_PW" >/dev/null
      if "$KC" get realms/{{ serveur_keycloak_realm }} --fields accountTheme 2>/dev/null \
          | grep -q '"{{ serveur_keycloak_account_theme }}"'; then
        echo SETOPS_OK
      else
        "$KC" update realms/{{ serveur_keycloak_realm }} \
          -s accountTheme={{ serveur_keycloak_account_theme }} >/dev/null
        echo SETOPS_CHANGED
      fi      
  environment:
    KC_ADMIN_PW: "{{ serveur_keycloak_admin_password }}"
  register: serveur_keycloak_account_res
  changed_when: "'SETOPS_CHANGED' in serveur_keycloak_account_res.stdout"
  when:
    - serveur_keycloak_account_theme | length > 0
    - not ansible_check_mode

# --- Sonde de supervision (docs/supervision-conception.md) --------------------------
# Le role qui possede la verite depose sa propre sonde ; le porteur (`client_sante`) la
# fait tourner et pousse le verdict, sans savoir ce qu'elle mesure.
- name: Assurer le repertoire des sondes de supervision
  ansible.builtin.file:
    path: /usr/local/lib/setops/sondes
    state: directory
    owner: root
    group: root
    mode: "0755"

- name: Deposer la sonde « identite »
  ansible.builtin.template:
    src: sonde-identite.sh.j2
    dest: /usr/local/lib/setops/sondes/identite.sh
    owner: root
    group: root
    mode: "0750"