Alliance-Boreale/Set-OPS-Public
2
0
Fork 0
Code Issues Pull requests 1 Projects Releases Packages Wiki Activity
Set-OPS-Public/roles/serveur_dovecot
History
Daniel Allaire b4e3520561 annuaire : un compte de service par consommateur, et la porte se ferme 
Keycloak, Dovecot, Postfix et Icinga Web 2 se liaient TOUS avec cn=admin, le compte
d administration de la base. C est le rootDN : slapd lui fait contourner toutes les
ACL. Un seul secret, quatre services, tous les droits sur l arbre — pour ce qui est,
trois fois sur quatre, une simple lecture.

Et les droits livres par Debian etaient intacts : `to * by * read`. Sur ldap://, sans
s authentifier, une machine du reseau enumerait tous les comptes et toutes les
adresses. Des comptes a droits mesures n auraient rien valu tant que cette ligne
restait : on aurait ferme la porte en laissant la fenetre.

L indice etait deja dans le depot. `validatePasswordPolicy` existe parce que slapd
n applique pas ses controles de qualite au rootDN : la consequence etait compensee,
la cause intacte.

- ou=services, un compte par consommateur, secret propre en voute
- sept regles d acces posees EN ENTIER (state: exact) : l ordre est la regle, et
  inserer c est parier sur ce que le paquet aura mis avant nous
- amorcage_acces garde le compte d administration, NOMME comme l exception : il ne
  consomme pas l annuaire, il le provisionne depuis la socket locale
- la sonde passe de -x a -Y EXTERNAL : elle lisait en anonyme et aurait annonce un
  annuaire VIDE sur un annuaire parfaitement sain
- la rotation du compte d administration devient possible (elle n etait posee qu a
  l installation, par debconf : la voute et slapd divergeaient en silence)

Quatre marches payees en chemin :
1. un cinquieme appelant oublie, dont l echec etait masque par no_log — la garde
   refuse desormais SANS no_log : elle nomme la cle absente, jamais son contenu
2. la federation Keycloak ne reecrivait son bindDn que si l URL ou le mode changeaient
   — nouveau secret, ancien nom, error code 49
3. la rotation placee APRES les taches qui se lient en administrateur
4. ansible-vault et son tube : sortie non bloquante = echec silencieux, la voute
   paraissait tournee et etait identique a l octet

P72 exige que tout role incluant resoudre_annuaire NOMME son compte, et qu aucun sauf
amorcage_acces ne nomme admin. Eprouvee dans les deux sens.

Verifie sur l infrastructure : chaque compte lit ce qu il doit, aucun ne voit les
autres, la lecture anonyme rend 0 entree, et les quatre services repondent (doveadm
user, postmap -q, decouverte OIDC 200, portier SSO 200).

vault_openldap_admin et vault_ldap_bind_postfix renouveles : les deux avaient transite
en clair par une session d exploitation. Les anciennes valeurs rendent Invalid
credentials (49).

make prouver : 71 OK, 0 echec, 1 saute. ansible-lint : 0 failure, profil production.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
2026-09-13 13:36:38 -04:00
..
defaults sondes : quatorze, une par role, derivees en objets Icinga 2026-09-10 03:00:21 -04:00
handlers serveur_dovecot (Dovecot 2.4) : IMAP + auth LDAP + TLS step_ca — prouvé 2026-07-02 15:09:37 -04:00
meta sondes : quatorze, une par role, derivees en objets Icinga 2026-09-10 03:00:21 -04:00
tasks annuaire : un compte de service par consommateur, et la porte se ferme 2026-09-13 13:36:38 -04:00
templates sondes : quatorze, une par role, derivees en objets Icinga 2026-09-10 03:00:21 -04:00
README.md docs : un README par rôle (12 manquants) + carte remise à l'état du code 2026-07-29 11:32:06 -04:00

README.md

serveur_dovecot

Mailstore : Dovecot 2.4 (Debian 13) — IMAP pour les utilisateurs, LMTP pour la remise depuis Postfix, authentification et résolution des comptes sur l'annuaire OpenLDAP. Stockage Maildir de boîtes virtuelles. Cf. docs/courriel-conception.md.

Rôle

  • Installe dovecot-core, -imapd, -lmtpd, -ldap.
  • Crée l'utilisateur/groupe système vmail (uid/gid 5000) et /var/vmail.
  • TLS : pont de certificat step_ca (client_pki) — script setops-dovecot-cert-sync
    • unités .service/.path qui recopient le certificat d'hôte dans /etc/dovecot/tls et rechargent Dovecot à chaque renouvellement.
  • Annuaire : connexion fournie par le rôle partagé resoudre_annuaire (uri, base, bind_dn, bind_password) — rien de codé en dur.
  • Déploie toute la configuration en un drop-in conf.d/99-setops.conf (syntaxe 2.4), valide avec doveconf avant d'activer le service.
  • Désactive l'auth système par défaut : LDAP est l'unique autorité.

Réglages Dovecot 2.4 qui comptent

La 2.4 a changé la donne par rapport à la 2.3 ; ces trois points conditionnent la remise :

  • static_allow_all_users pour le userdb static ;
  • mail_inbox_path laissé vide ;
  • mail_path par utilisateur — {{ vmail_base }}/%{user | username}.

Le local-part seul (| username) donne le même chemin pour la remise LMTP (destinataire local-part) et l'accès IMAP (adresse complète) — c'est ce qui fait fonctionner le flux bout-en-bout en mono-domaine.

Variables principales

Variable Défaut Rôle
serveur_dovecot_vmail_base /var/vmail Racine des boîtes
serveur_dovecot_mail_path <base>/%{user | username} Chemin Maildir par compte
serveur_dovecot_ldap_filter (&(objectClass=inetOrgPerson)(mail=%{user})) Login = adresse courriel
serveur_dovecot_tls_actif true Pont de certificat step_ca
serveur_dovecot_lmtp_reseau true LMTP :24 pour un MTA distant (edge-mta)
serveur_dovecot_sasl_reseau false Auth SASL réseau :12345 pour la soumission :587

Flux (meta/flux.yml)

993/tcp IMAPS (utilisateurs) · 24/tcp LMTP ← Postfix (TLS vérifié) · 12345/tcp SASL ← Postfix · 636/tcp → OpenLDAP (userdb/passdb).

Notes / limites

  • Mono-domaine : le chemin ne conserve pas le domaine. Le multi-domaine demandera de le préserver des deux côtés (raffinement Étape B).
  • LMTP et SASL réseau doivent être restreints au nœud MTA par pare-feu — c'est ce que fait nftables_baseline à partir de meta/flux.yml (pair: serveur_postfix).
  • Si Postfix est co-localisé, le rôle bascule sur les sockets sous le chroot (/var/spool/postfix/private) plutôt que sur le réseau (détection automatique).
  • Le certificat est exigé : sans client_pki sur le nœud, le rôle échoue explicitement.

Prérequis

  • serveur_dovecot requiert serveur_openldap actif (docs/dependances-groupes.yml).
  • client_pki appliqué sur le nœud (couche pki_client, avant la couche services).