Daniel Allaire
5ecce4282a
Icinga Web 2 gagne un troisieme mode, locale : nginx authentifie en HTTP Basic et pose REMOTE_USER, l application le croit. Un SITE n a ni annuaire ni Keycloak — ce sont des services d ecosysteme. Ni backend LDAP ni backend de groupes : un backend qui vise une ressource inexistante fait echouer chaque ouverture de session. L habilitation nomme alors une personne, entorse a D-66 ecrite plutot que contournee. Deux pieges en chemin : resoudre_annuaire etait appele sans condition et tombait sur NoneType has no len (default sans son second argument ne remplace pas None), et le flux du role ne nommait que l edge — le site n en a pas, donc personne ne pouvait entrer. serveur_grafana portait deja la reponse. LE DEFAUT DU DEVIS : une sortie vers un role ABSENT de l ecosysteme retombait sur !SETOPS_INTERNES, la forme de vers l Internet. La frontiere aurait autorise la console a parler LDAPS a n importe quelle machine du monde, pour joindre un annuaire qui n existe pas. C est une source vide ouvre le port, cote destination. Trois regles du meme defaut etaient DEJA posees pour postfix. La frontiere n est pas ecrite : elle porte la production, et le devis attend un mot. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
73 lines
3.9 KiB
YAML
73 lines
3.9 KiB
YAML
---
|
|
# Rôle utilitaire (pas un groupe déployable) : résout la connexion à l'annuaire (OpenLDAP)
|
|
# de façon déclarative, dérivée du domaine interne + de l'hôte d'annuaire. Remplace le
|
|
# câblage LDAP répété dans serveur_dovecot/postfix/keycloak/icingaweb2.
|
|
#
|
|
# Sorties (facts) :
|
|
# resoudre_annuaire_fqdn — id-ldap-01.<domaine>
|
|
# resoudre_annuaire_uri — ldaps://id-ldap-01.<domaine>
|
|
# resoudre_annuaire_base_dn — dc=...,dc=...
|
|
# resoudre_annuaire_users_dn — ou=people,dc=...
|
|
# resoudre_annuaire_bind_dn — cn=<service>,ou=services,dc=...
|
|
# resoudre_annuaire_bind_password — secret déréférencé depuis la voûte (no_log)
|
|
- name: Exiger un domaine interne non vide
|
|
ansible.builtin.assert:
|
|
that:
|
|
- domaine_interne is defined
|
|
- domaine_interne | length > 0
|
|
fail_msg: "domaine_interne doit être défini pour résoudre l'annuaire."
|
|
|
|
- name: Charger le registre des applications (hôte de l'annuaire)
|
|
ansible.builtin.include_vars:
|
|
file: "{{ setops_plan_dir }}/applications.yml"
|
|
failed_when: false
|
|
|
|
# `default('', true)` ET PAS `default('')` — LA DIFFERENCE EST TOUT LE DEFAUT (2026-09-14).
|
|
#
|
|
# `.get('hote')` rend `None` quand l'application existe sans hote, et `default('')` ne
|
|
# remplace que l'INDEFINI : un `None` le traverse intact, puis `| length` le heurte :
|
|
#
|
|
# object of type 'NoneType' has no len()
|
|
#
|
|
# Un message qui ne nomme ni l'annuaire, ni le role qui le demandait, ni la raison. Le
|
|
# second argument de `default` dit « remplace aussi ce qui est faux » — c'est-a-dire
|
|
# `None`, la chaine vide et zero.
|
|
- name: Dériver l'hôte de l'annuaire depuis le plan
|
|
ansible.builtin.set_fact:
|
|
resoudre_annuaire_hote: "{{ (applications | default({})).get(resoudre_annuaire_app, {}).get('hote') }}"
|
|
when: ((applications | default({})).get(resoudre_annuaire_app, {}).get('hote') | default('', true)) | length > 0
|
|
|
|
# set_fact (pas les defaults) pour que ces valeurs persistent dans le rôle consommateur
|
|
# après include_role (les defaults du rôle inclus ne fuient pas hors de son exécution).
|
|
- name: Dériver la connexion à l'annuaire
|
|
ansible.builtin.set_fact:
|
|
resoudre_annuaire_fqdn: "{{ resoudre_annuaire_hote }}.{{ domaine_interne }}"
|
|
resoudre_annuaire_uri: "{{ resoudre_annuaire_encryption }}://{{ resoudre_annuaire_hote }}.{{ domaine_interne }}"
|
|
resoudre_annuaire_port: "{{ resoudre_annuaire_port }}"
|
|
resoudre_annuaire_base_dn: "dc={{ domaine_interne.split('.') | join(',dc=') }}"
|
|
resoudre_annuaire_users_dn: "ou=people,dc={{ domaine_interne.split('.') | join(',dc=') }}"
|
|
resoudre_annuaire_bind_dn: >-
|
|
cn={{ resoudre_annuaire_bind_cn }},{{ ('ou=' ~ resoudre_annuaire_bind_ou ~ ',')
|
|
if resoudre_annuaire_bind_ou | length > 0 else '' }}dc={{ domaine_interne.split('.') | join(',dc=') }}
|
|
|
|
# UNE GARDE CENSUREE NE GARDE PAS (mesure du 2026-09-13). La premiere version
|
|
# dereferencait directement : quand le secret manquait, `lookup('vars', ...)` levait — et
|
|
# `no_log: true`, qui protege legitimement la VALEUR, masquait aussi la RAISON. Le
|
|
# deploiement s'arretait sur « the output has been hidden », ce qui ne designe rien.
|
|
#
|
|
# On dereference donc avec un repli, puis on refuse dans une tache SANS `no_log` : elle
|
|
# ne nomme que la cle absente, jamais son contenu.
|
|
- name: Déréférencer le mot de passe de bind (Vault)
|
|
ansible.builtin.set_fact:
|
|
resoudre_annuaire_bind_password: "{{ lookup('vars', resoudre_annuaire_secret, default='') }}"
|
|
no_log: true
|
|
|
|
- name: Exiger que le compte de liaison ait un secret
|
|
ansible.builtin.assert:
|
|
that:
|
|
- resoudre_annuaire_bind_password | length > 0
|
|
fail_msg: >-
|
|
Le compte de liaison « {{ resoudre_annuaire_bind_dn }} » n'a pas de secret :
|
|
la cle « {{ resoudre_annuaire_secret }} » est absente ou vide dans la voute.
|
|
Un role qui consomme l'annuaire doit nommer SON compte de service — voir
|
|
roles/resoudre_annuaire/defaults/main.yml.
|