History

Daniel Allaire 22ef279464 authentification : chaque rôle déclare sa position, gardé par P29 Une règle qu'aucune garde ne vérifie finit par ne plus être vraie — c'est ce qui était arrivé aux 28 lignes d'intégration recopiées. Chaque rôle serveur_* porte un meta/authentification.yml, confronté à son code par P29. web-sso 5, socle-identite 2 (keycloak/openldap : ils SONT la chaîne d'identité), ldap-direct 2, interne-sans-auth 2, sans-auth-humaine 12. La preuve refuse l'oubli ET le mensonge. Éprouvée par sabotage sur sept cas : déclaration supprimée, portée inventée, secours retiré, posture de formulaire retirée, raison retirée, ldap-direct mensonger, réglage retiré des defaults. Les deux derniers passaient dans la première version : - le mensonge passait à cause d'un commentaire. Je cherchais le mot « ldap » dans le rôle, et serveur_grafana/defaults/main.yml contient « désactiver quelqu'un dans LDAP » : de la prose validait une déclaration fausse. La preuve exige maintenant un indice nommé — variable <rôle>_oidc / <rôle>_ldap, ou URI ldap:// - le réglage retiré passait parce que le gabarit citait encore la variable alors que plus rien ne lui donnait de valeur. La preuve lit defaults/main.yml en YAML et exige que la clé y soit définie, pas mentionnée. Elle a aussi forcé une valeur : oauth2-proxy était déclaré « formulaire local fermé » alors qu'il n'a aucun compte local. D'où formulaire_local: aucun, qui distingue « il n'y en a jamais eu » de « il y en a un, il est fermé ». Correction d'une note de la veille : Prometheus et Loki ne sont PAS exposés publiquement (aucun expose au plan). Seuls six groupes le sont. Le risque est intra-tenant, pas frontalier. Les deux lacunes sont comptées à chaque exécution, pas masquées. AFF-111, D-42. 29 preuves OK, ansible-lint (production) sur 375 fichiers. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>		2026-08-03 17:05:43 -04:00
..
defaults	Binding annuaire complété : icingaweb2 + client_ldap → resoudre_annuaire	2026-07-03 23:24:38 -04:00
handlers	serveur_oauth2_proxy : passerelle SSO OIDC générique + Icinga Web 2 au SSO	2026-07-03 19:05:04 -04:00
meta	authentification : chaque rôle déclare sa position, gardé par P29	2026-08-03 17:05:43 -04:00
tasks	Binding annuaire complété : icingaweb2 + client_ldap → resoudre_annuaire	2026-07-03 23:24:38 -04:00
templates	serveur_oauth2_proxy : passerelle SSO OIDC générique + Icinga Web 2 au SSO	2026-07-03 19:05:04 -04:00
README.md	docs : un README par rôle (12 manquants) + carte remise à l'état du code	2026-07-29 11:32:06 -04:00

README.md

serveur_icingaweb2

Frontal de supervision : Icinga Web 2 + module IcingaDB + module Business Process, co-localisé avec le moteur serveur_icinga. Application PHP servie par un nginx local et php-fpm ; l'edge nginx proxifie par nom.

Rôle

Résout sa base IcingaDB via resoudre_base (même consommateur que le moteur) et l'annuaire via resoudre_annuaire — aucun câblage en dur.
Installe icingadb-web (qui tire icingaweb2), le module BPM, PHP 8.4 (fpm, pgsql, ldap, intl, gd, curl, xml, mbstring) et nginx.
Déploie la configuration .ini (ressources, authentification, rôles, IcingaDB, Redis), active les modules, déploie le vhost nginx local et retire le site par défaut.
Processus métier (BPM) : peut en semer en IaC (serveur_icingaweb2_bpm_processes), tout en laissant le répertoire éditable depuis l'UI.

Deux modes d'authentification

`serveur_icingaweb2_auth`	Fonctionnement
`ldap` (défaut)	Connexion directe à OpenLDAP (LDAPS) — Icinga Web 2 n'a pas d'OIDC natif
`external`	L'utilisateur est fourni par une passerelle SSO devant (`serveur_oauth2_proxy` → Keycloak) ; nginx pose `REMOTE_USER`

En mode external, restreindre l'écoute de nginx à la boucle locale (serveur_icingaweb2_nginx_bind: "127.0.0.1:") — sinon l'application reste joignable en contournant la passerelle.

Variables principales

Variable	Défaut	Rôle
`serveur_icingaweb2_hostname`	`icinga.{{ domaine_interne }}`	Nom servi
`serveur_icingaweb2_http_port`	`8080`	nginx local (l'edge proxifie ici)
`serveur_icingaweb2_auth`	`ldap`	Backend d'authentification
`serveur_icingaweb2_remote_user`	`$remote_user`	Variable nginx source de `REMOTE_USER`
`serveur_icingaweb2_nginx_bind`	`""`	`"127.0.0.1:"` derrière une passerelle
`serveur_icingaweb2_admins`	`testmail`	uid recevant le rôle Administrateur (liste séparée par virgules)
`serveur_icingaweb2_redis_port`	`6380`	Redis IcingaDB local
`serveur_icingaweb2_modules`	`[icingadb, businessprocess]`	Modules activés
`serveur_icingaweb2_bpm_processes`	`{}`	Processus métier semés en IaC

Flux (`meta/flux.yml`)

8080/tcp entrant depuis l'edge · 5432/tcp → PostgreSQL (IcingaDB, verify-full) · 636/tcp → OpenLDAP. Icinga 2 (API 5665) et le Redis IcingaDB (6380) sont co-localisés : consommés en localhost, donc absents du registre des flux.

Notes / limites

serveur_icingaweb2_admins doit désigner de vrais uid de l'annuaire — sinon plus personne n'est administrateur de l'interface.
Les versions PHP sont épinglées à 8.4 (Debian 13) dans les noms de paquets, de service et de socket : une montée de Debian demandera de les changer ensemble.
Le Redis IcingaDB (6380) est distinct du groupe serveur_redis (cache applicatif) et du Redis de serveur_rspamd.
Semer un processus BPM ici le met sous gestion Ansible : il sera réécrit à chaque passage, même modifié dans l'UI. Par défaut, le rôle n'en sème aucun.

Prérequis

serveur_icingaweb2 requiert serveur_icinga, serveur_postgresql, serveur_openldap actifs (docs/dependances-groupes.yml).
client_pki (LDAPS + PostgreSQL verify-full). Couche apps.