Daniel Allaire
53e2f78148
icinga.<tenant>.internal devient vigie.<tenant>.internal, sur les trois locataires a la fois. Le mot avait ete ecarte pour Grafana precisement parce qu il connote la guette du danger : c est le metier d Icinga. Quatrieme recopie du meme FQDN a tomber : serveur_oauth2_proxy_redirect_url etait posee a la main dans les group_vars de chaque instance. Elle derive maintenant de serveur_oauth2_proxy_hostname. Le repli reste vide et non fabrique : l assertion doit refuser un deploiement sans exposition, pas inventer un nom que personne ne resout. Deploye et VERIFIE sur Chezlepro : le SSO renvoie sur vigie, le certificat servi porte observatoire et vigie et plus aucun ancien nom. Deployer nginx pose le vhost mais laisse le SAN en arriere — c est client_pki qui reemet. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
60 lines
3.6 KiB
YAML
60 lines
3.6 KiB
YAML
---
|
|
# Passerelle SSO OIDC générique (oauth2-proxy) : place Keycloak DEVANT n'importe quelle
|
|
# application sans OIDC natif. L'app reçoit l'utilisateur via en-têtes (auth « external »).
|
|
# Binaire Go statique depuis les releases GitHub (pas d'apt). Requiert client_pki (confiance
|
|
# step_ca pour joindre Keycloak) + résolution de l'hôte Keycloak.
|
|
serveur_oauth2_proxy_version: "v7.15.3"
|
|
serveur_oauth2_proxy_archive: "oauth2-proxy-{{ serveur_oauth2_proxy_version }}.linux-amd64.tar.gz"
|
|
serveur_oauth2_proxy_url: >-
|
|
https://github.com/oauth2-proxy/oauth2-proxy/releases/download/{{
|
|
serveur_oauth2_proxy_version }}/{{ serveur_oauth2_proxy_archive }}
|
|
serveur_oauth2_proxy_binaire: "/usr/local/bin/oauth2-proxy"
|
|
serveur_oauth2_proxy_utilisateur: "oauth2-proxy"
|
|
serveur_oauth2_proxy_config: "/etc/oauth2-proxy/oauth2-proxy.cfg"
|
|
serveur_oauth2_proxy_service: "oauth2-proxy"
|
|
|
|
# Écoute (l'edge nginx proxifie ici).
|
|
serveur_oauth2_proxy_ecoute: "0.0.0.0:4180"
|
|
|
|
# OIDC (Keycloak) — realm applicatif.
|
|
serveur_oauth2_proxy_realm: "{{ identite_realm | default('chezlepro') }}"
|
|
# DERIVE de l'exposition que le plan declare pour l'IdP (voir tasks/main.yml). La valeur
|
|
# ci-dessous n'est qu'un REPLI, utilise si l'application n'expose rien : un nom fabrique
|
|
# par convention n'est resolu par personne.
|
|
serveur_oauth2_proxy_issuer_derive: true
|
|
serveur_oauth2_proxy_app_idp: "keycloak"
|
|
serveur_oauth2_proxy_issuer: "https://keycloak.{{ domaine_interne }}/realms/{{ serveur_oauth2_proxy_realm }}"
|
|
serveur_oauth2_proxy_client_id: "" # OBLIGATOIRE (par instance)
|
|
serveur_oauth2_proxy_client_secret: "" # OBLIGATOIRE (voûte)
|
|
# DERIVE de l'exposition que le plan declare pour l'application protegee.
|
|
# `instancier` pose `serveur_oauth2_proxy_hostname` depuis `expose:` ; l'URL de retour
|
|
# s'en deduit. Une valeur posee dans les group_vars gagne encore — et le repli reste
|
|
# vide, pour que l'assertion refuse un deploiement sans exposition plutot que de
|
|
# fabriquer un nom que personne ne resout.
|
|
serveur_oauth2_proxy_redirect_url: >-
|
|
{{ ('https://' ~ serveur_oauth2_proxy_hostname ~ '/oauth2/callback')
|
|
if (serveur_oauth2_proxy_hostname | default('') | length > 0) else '' }}
|
|
|
|
# Application protégée (upstream local).
|
|
serveur_oauth2_proxy_upstream: "" # OBLIGATOIRE (ex. http://127.0.0.1:8080)
|
|
|
|
# Secret de cookie (voûte) — 32 octets en base64 URL-SAFE (alphabet `-_`, RFC 4648 §5).
|
|
#
|
|
# Le base64 STANDARD ne convient PAS, et l'erreur ne le dit pas : oauth2-proxy décode en
|
|
# `RawURLEncoding`, et un secret contenant `+` ou `/` fait échouer le décodage. Il retombe
|
|
# alors sur la chaîne BRUTE et se plaint de sa longueur — « is 44 bytes » — sans jamais
|
|
# mentionner l'encodage. Constaté le 2026-08-07 : le service redémarrait en boucle.
|
|
#
|
|
# Générer avec : `openssl rand -base64 32 | tr '+/' '-_'`
|
|
serveur_oauth2_proxy_cookie_secret: "{{ vault_oauth2_cookie | default('') }}"
|
|
# * = tout utilisateur authentifié par Keycloak.
|
|
serveur_oauth2_proxy_email_domains: "*"
|
|
# IdP interne de confiance : les utilisateurs LDAP n'ont pas le drapeau email_verified.
|
|
serveur_oauth2_proxy_allow_unverified_email: true
|
|
# Bundle d'AC système (racine step_ca via client_pki) pour joindre Keycloak en HTTPS.
|
|
serveur_oauth2_proxy_ca_bundle: "/etc/ssl/certs/ca-certificates.crt"
|
|
|
|
# Cache d'artefacts DU CONTROLEUR (pas de la cible). Le controleur telecharge une fois,
|
|
# puis pousse par SSH : aucun flux nouveau, et l'artefact devient deployable hors ligne.
|
|
# Surchargeable par `setops_cache_artefacts` pour partager un cache commun.
|
|
serveur_oauth2_proxy_cache_local: "{{ setops_cache_artefacts | default(lookup('env', 'HOME') + '/.cache/setops') }}"
|