Daniel Allaire
6120e6f006
boites (dovecot) · cache-apt (artefacts) · certificat (client_pki, 14/14)
collaboration (nextcloud) · collecte (prometheus) · file-courriel (postfix)
forge (forgejo) · identite (keycloak) · ingestion (loki) · moteur (icinga)
resolution (resolveur) · runner (serveur_ops) · tableaux (grafana)
voute (ops_tenant) — toutes vertes, sans une ligne ecrite dans Icinga.
DEUX PRINCIPES QUE LA PREMIERE SONDE A IMPOSES.
Une sonde doit pouvoir etre mise en defaut PAR PARAMETRE : cible et seuils
sont des variables du role, on prouve le rouge avec un port ferme ou un
seuil impossible, sans rien casser. Et la sonde vit LA OU VIT LA VERITE :
« ce noeud est-il collecte ? » appartient a prometheus, pas au client —
une seule y voit les N noeuds, et surtout elle voit le cas SILENCIEUX.
ON DEMANDE AU SERVICE CE QU IL PENSE DE LUI-MEME quand il sait le dire
(healthz, /ready, status.php, decouverte OIDC). Quand il ne sait pas, on
va chercher la verite de terrain : « moteur » ne regarde ni le service ni
le port, il demande a la base depuis combien de temps elle n a pas ete
rafraichie — la lecon des sauvegardes appliquee a la supervision.
QUATRE FOIS J AI ECRIT LA SONDE AVANT DE MESURER, QUATRE FOIS ELLE A EU
TORT. La forge : port et chemin des depots inventes, elle ecoute en 3000
derriere l edge et n a legitimement aucun depot. Loki : « panne
persistante » conclue sur deux lectures a quelques secondes d intervalle
juste apres un redemarrage — deux mesures rapprochees ne distinguent pas
un etat d un instant. Keycloak : vise en 8443, il ecoute en 8080. Le
runner : git en root refuse un depot d un autre proprietaire. A chaque
fois le remede est le meme — lire la verite du role, ne pas la supposer.
Et le meme piege Jinja qu avec client_sante : ${#tableau[@]} contient {#.
Le remede etait deja au depot ; je l ai reecrit au lieu de le chercher.
RESTE : client_smtp, client_artefacts, client_journal, icingaweb2 et
ops_site. Ce sont des chemins de report, dont la panne se voit deja par le
silence des sondes qu ils portent.
make prouver : CONFORME, 64 OK, 0 echec, 0 saute (P64 : 14 sondes).
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
228 lines
12 KiB
YAML
228 lines
12 KiB
YAML
---
|
|
# Distribution Keycloak (Quarkus). Verifier/ajuster la version sur keycloak.org/downloads.
|
|
serveur_keycloak_version: "26.7.1"
|
|
serveur_keycloak_url: "https://github.com/keycloak/keycloak/releases/download/{{ serveur_keycloak_version }}/keycloak-{{ serveur_keycloak_version }}.tar.gz"
|
|
serveur_keycloak_java_paquet: "default-jre-headless"
|
|
|
|
serveur_keycloak_home: "/opt/keycloak"
|
|
serveur_keycloak_utilisateur: "keycloak"
|
|
serveur_keycloak_service: "keycloak"
|
|
|
|
# Publication (derriere serveur_nginx, TLS termine a l'edge).
|
|
# DERIVE de l'exposition que le plan declare (voir tasks/main.yml). Ce nom est celui que
|
|
# Keycloak ANNONCE dans son issuer OIDC : il doit etre exactement celui que l'edge sert et
|
|
# que le DNS resout, sinon tout client OIDC refuse le jeton — « issuer did not match ».
|
|
# La valeur ci-dessous n'est qu'un REPLI, si l'application n'expose rien.
|
|
serveur_keycloak_hostname_derive: true
|
|
serveur_keycloak_hostname: "keycloak.{{ domaine_interne }}"
|
|
|
|
# Base de donnees : resolue depuis le registre par le groupe consommateur.
|
|
serveur_keycloak_groupe: "serveur_keycloak"
|
|
# IP interne du serveur PostgreSQL (data-01, cf. nomenclature).
|
|
serveur_keycloak_db_host: "" # dérivé (FQDN) par resoudre_base au déploiement
|
|
|
|
# Secrets (Ansible Vault) — obligatoires.
|
|
serveur_keycloak_admin_user: "admin"
|
|
serveur_keycloak_admin_password: "{{ vault_keycloak_admin | default('') }}" # rempli depuis la voute (vault_keycloak_admin)
|
|
|
|
# --- Fédération LDAP : OpenLDAP source de vérité (modèle d'identité A) ---
|
|
# Keycloak federe l'annuaire en WRITABLE (voir serveur_keycloak_ldap_edit_mode plus bas,
|
|
# et POURQUOI les deux autres modes sont des culs-de-sac) ; les users LDAP se connectent
|
|
# via le SSO.
|
|
# Requiert client_pki sur ce nœud (racine step_ca dans le bundle système pour LDAPS).
|
|
serveur_keycloak_ldap_federation: true
|
|
serveur_keycloak_realm: "{{ identite_realm | default('chezlepro') }}"
|
|
# Thèmes du realm (déployés depuis files/themes/). Vide = thème Keycloak par défaut.
|
|
serveur_keycloak_login_theme: ""
|
|
serveur_keycloak_account_theme: ""
|
|
# Cache des ressources de thème. true = prod (perf). false = lab (voir les tweaks sans casse-cache).
|
|
serveur_keycloak_theme_cache: true
|
|
serveur_keycloak_ldap_nom: "openldap"
|
|
# Connexion à l'annuaire (url, users_dn, bind_dn, bind_password) : fournie par le rôle
|
|
# partagé resoudre_annuaire (voir tasks/main.yml « Adopter la connexion annuaire »).
|
|
serveur_keycloak_ldap_username_attr: "uid"
|
|
serveur_keycloak_ldap_uuid_attr: "entryUUID"
|
|
serveur_keycloak_ldap_object_classes: "inetOrgPerson"
|
|
# Bundle d'AC de confiance (contient la racine step_ca, posée par client_pki) pour LDAPS.
|
|
serveur_keycloak_truststore_path: "/etc/ssl/certs/ca-certificates.crt"
|
|
|
|
# --- Clients OIDC applicatifs (enregistres dans le realm, kcadm idempotent) ---
|
|
# Chaque app qui delegue son auth a Keycloak declare ici son client confidentiel.
|
|
# Le 'secret' reference la MEME variable de voute que l'app (ex. grafana : vault_grafana_oidc).
|
|
# Ex. (a mettre en group_var d'instance, pas en defaut) :
|
|
# serveur_keycloak_clients:
|
|
# - clientId: grafana
|
|
# redirect_uris: ["https://grafana.{{ domaine_interne }}/login/generic_oauth"]
|
|
# web_origins: ["https://grafana.{{ domaine_interne }}"]
|
|
# secret: "{{ vault_grafana_oidc }}"
|
|
serveur_keycloak_clients: []
|
|
|
|
# --- RBAC OIDC (additif, idempotent) ---
|
|
# Rôles de realm à garantir (ex. ['grafana-admin', 'grafana-editor']).
|
|
serveur_keycloak_realm_roles: []
|
|
# Clients recevant le mapper « roles » (rôles de realm → claim 'roles' dans le jeton).
|
|
serveur_keycloak_role_mapper_clients: []
|
|
# Assignations rôle→utilisateur (ex. [{user: testmail, role: grafana-editor}]).
|
|
# En prod, préférer l'assignation via groupe d'annuaire ; ici, explicite pour la preuve.
|
|
serveur_keycloak_role_assignments: []
|
|
|
|
# TLS vers PostgreSQL (zero-confiance). Vide = pas de verif (compat). 'verify-full' =
|
|
# chiffre + verifie le cert serveur contre le root_ca step-ca (l'hote doit etre dans le SAN).
|
|
serveur_keycloak_db_sslmode: ""
|
|
serveur_keycloak_db_sslrootcert: "/etc/step/certs/root_ca.crt"
|
|
|
|
# --- Projection des groupes LDAP (D-65) ---------------------------------------
|
|
# LDAP porte les habilitations ; Keycloak les traduit en groupes de realm, puis en
|
|
# roles que les services lisent dans le jeton. Sans ce mapper, la chaine s'arrete
|
|
# avant le premier service et l'assignation se fait utilisateur par utilisateur —
|
|
# ce que D-66 interdit.
|
|
serveur_keycloak_groupes_ldap: true
|
|
serveur_keycloak_groupes_mapper_nom: "groupes-ldap"
|
|
|
|
# DERIVE de l'annuaire (resoudre_annuaire), jamais ecrit.
|
|
serveur_keycloak_groupes_dn: "ou=groups,{{ resoudre_annuaire_base_dn | default('') }}"
|
|
|
|
# Le schema REEL de l'annuaire Set-OPS : `serveur_openldap` cree `ou=groups`, et
|
|
# `amorcage_acces` y pose des `groupOfNames` dont les membres sont des DN.
|
|
serveur_keycloak_groupes_object_class: "groupOfNames"
|
|
serveur_keycloak_groupes_membership_attr: "member"
|
|
|
|
# Quel groupe LDAP porte quel role de realm. C'est ce qui REMPLACE l'assignation
|
|
# nominative : ajouter quelqu'un au groupe suffit, aucun deploiement n'est requis.
|
|
# Les roles doivent exister (`serveur_keycloak_realm_roles`).
|
|
serveur_keycloak_groupes_roles: []
|
|
|
|
# Le claim qui porte les groupes dans le jeton, et les clients qui le recoivent.
|
|
# Sans ce mapper de protocole, les groupes existent dans le realm mais n'atteignent
|
|
# jamais les services : Forgejo et Nextcloud liraient un claim vide.
|
|
serveur_keycloak_groupes_claim: "groups"
|
|
serveur_keycloak_groupes_mapper_clients: []
|
|
|
|
# Mode d'ecriture de la federation LDAP. TROIS valeurs possibles, et une seule tient
|
|
# avec la doctrine :
|
|
#
|
|
# READ_ONLY Keycloak lit, n'ecrit jamais. Un changement de mot de passe echoue sur
|
|
# « Federated storage is not writable » — donc `pwdReset` est un cul-de-sac :
|
|
# l'annuaire EXIGE le changement, et Keycloak ne peut pas le faire.
|
|
# UNSYNCED Keycloak ecrit dans SA base. Le mot de passe ne serait plus dans LDAP :
|
|
# Dovecot et Postfix, qui s'y lient DIRECTEMENT (D-39), continueraient de
|
|
# valider l'ancien. Une identite, deux mots de passe — exactement ce que la
|
|
# doctrine interdit.
|
|
# WRITABLE Keycloak ecrit A TRAVERS vers LDAP. L'annuaire reste la source unique ;
|
|
# Keycloak n'en est qu'un client. C'est le seul mode coherent.
|
|
#
|
|
# Constate le 2026-08-07 : READ_ONLY etait code en dur, et la premiere reprise du
|
|
# sysadmin butait dessus.
|
|
serveur_keycloak_ldap_edit_mode: "WRITABLE"
|
|
|
|
# Compte d'amorcage dont le changement de mot de passe doit etre EXPLICITE dans
|
|
# Keycloak. Vide = aucun alignement. Voir roles/amorcage_acces (D-67).
|
|
serveur_keycloak_amorcage_uid: "{{ amorcage_acces_uid | default('sysadmin') }}"
|
|
|
|
# Empreinte du mot de passe de LIAISON LDAP applique — Keycloak le masque, on ne
|
|
# peut donc pas le comparer. Permet sa rotation. Voir tasks/federation-ldap.yml.
|
|
serveur_keycloak_marqueur_bind: "/etc/keycloak/.setops-bind-sha256"
|
|
|
|
# --- Courriel du realm : « mot de passe oublie » ------------------------------
|
|
# Sans SMTP, `resetPasswordAllowed` ne sert a rien — Keycloak n'a aucun moyen
|
|
# d'envoyer le lien. Et sans « mot de passe oublie », chaque oubli passe par
|
|
# l'exploitant, qui manipule alors le mot de passe de quelqu'un d'autre : ce que
|
|
# « une identite, une personne » cherche precisement a eviter.
|
|
#
|
|
# Le relais est le MTA du tenant, DERIVE du plan (`applications.postfix.hote`) :
|
|
# il accepte les hotes du supernet sans authentification (`mynetworks`), et
|
|
# `idm-01` porte deja `client_smtp` — le flux existe.
|
|
serveur_keycloak_smtp_actif: true
|
|
serveur_keycloak_smtp_app: "postfix"
|
|
serveur_keycloak_smtp_port: 25
|
|
serveur_keycloak_smtp_starttls: true
|
|
serveur_keycloak_smtp_expediteur: "identite@{{ domaine_interne }}"
|
|
serveur_keycloak_smtp_nom_expediteur: "{{ organisation | default('Set-OPS') }}"
|
|
# Repli : utilise seulement si le plan ne declare pas d'application `postfix`.
|
|
serveur_keycloak_smtp_hote: ""
|
|
|
|
# « Mot de passe oublie » sur l'ecran de connexion. Exige le SMTP ci-dessus et une
|
|
# adresse `mail` sur le compte — sans elle, Keycloak n'a nulle part ou ecrire.
|
|
serveur_keycloak_reset_mot_de_passe: true
|
|
|
|
# --- Durcissement de la federation LDAP ---------------------------------------
|
|
# Forme de l'API (chaque valeur est une LISTE de chaines) : on ecrit le dialecte
|
|
# reel plutot que de le fabriquer en Jinja.
|
|
#
|
|
# `usePasswordModifyExtendedOp` — sans lui, Keycloak ecrit l'attribut `userPassword`
|
|
# a la main et l'overlay `ppolicy` de slapd ne voit rien passer.
|
|
# `validatePasswordPolicy` — fait valider la politique DU REALM avant l'ecriture.
|
|
# C'est le controle porteur : Keycloak se lie en rootDN, et slapd n'applique pas
|
|
# ses controles de qualite au rootDN. Les deux cles ensemble, pas l'une ou l'autre.
|
|
# `syncRegistrations` — sans lui, un compte cree dans Keycloak n'atteint JAMAIS
|
|
# l'annuaire (mesure du 2026-08-08 : `POST users` -> 201, rien dans `ou=people`).
|
|
# Il aurait un acces web, aucune boite aux lettres, et serait invisible du modele
|
|
# de groupes : Postfix et Dovecot lisent LDAP, pas Keycloak.
|
|
# `trustEmail` — l'adresse vient de l'annuaire, qui est la source de verite ; la
|
|
# faire re-verifier par courriel demanderait a l'utilisateur de confirmer ce que
|
|
# l'exploitant a deja etabli.
|
|
# Les delais — un annuaire qui PEND, plutot qu'il refuse, bloque sinon les fils de
|
|
# Keycloak sans limite.
|
|
serveur_keycloak_ldap_durcissement:
|
|
usePasswordModifyExtendedOp: ["true"]
|
|
validatePasswordPolicy: ["true"]
|
|
syncRegistrations: ["true"]
|
|
trustEmail: ["true"]
|
|
connectionTimeout: ["5000"]
|
|
readTimeout: ["10000"]
|
|
|
|
# Mappeurs d'attributs a reconcilier : nom du mappeur -> attribut LDAP. Voir
|
|
# tasks/attributs-ldap.yml pour ce que le defaut de Keycloak faisait de travers.
|
|
serveur_keycloak_ldap_attributs:
|
|
first name: "givenName"
|
|
last name: "sn"
|
|
email: "mail"
|
|
username: "uid"
|
|
|
|
# Journal des evenements du realm — voir tasks/journalisation.yml. Retention en
|
|
# secondes ; 14 jours suffit a diagnostiquer sans faire du journal une archive.
|
|
serveur_keycloak_journal_actif: true
|
|
serveur_keycloak_journal_admin: true
|
|
serveur_keycloak_journal_retention: 1209600
|
|
|
|
# Cache d'artefacts DU CONTROLEUR (pas de la cible). Le controleur telecharge une fois,
|
|
# puis pousse par SSH : aucun flux nouveau, et l'artefact devient deployable hors ligne.
|
|
# Surchargeable par `setops_cache_artefacts` pour partager un cache commun.
|
|
serveur_keycloak_cache_local: "{{ setops_cache_artefacts | default(lookup('env', 'HOME') + '/.cache/setops') }}"
|
|
|
|
# SIGNATURE DE L'ARCHIVE — Keycloak signe ses releases (PGP detachee, `.asc`).
|
|
#
|
|
# L'empreinte ci-dessous est une DECISION HUMAINE, pas une valeur decouverte : aucune
|
|
# machine ne peut etablir qu'une cle appartient bien a un projet. Elle doit etre confirmee
|
|
# par un canal INDEPENDANT du telechargement, puis ecrite ici — et la cle publique
|
|
# correspondante vit dans `files/keycloak-release.asc`, versionnee et relue.
|
|
#
|
|
# Ce que ca protege : Keycloak signe les jetons de tout l'ecosysteme. Une archive
|
|
# substituee la, et l'identite entiere tombe. C'est le composant ou une verification
|
|
# d'authenticite compte le plus.
|
|
#
|
|
# Continuite constatee le 2026-08-10 : cette meme cle a signe 26.0.7 (la version alors en
|
|
# production), 26.3.0, 26.6.2 et 26.7.1.
|
|
#
|
|
# ANCRE (2026-08-11) — l'empreinte est PUBLIEE PAR LE PROJET sur https://www.keycloak.org/keys,
|
|
# sous l'UID « Keycloak Bot <keycloak.bot@gmail.com> ». Ce canal (keycloak.org) est
|
|
# DISTINCT de celui qui livre l'archive (github.com) : la confiance ne repose donc plus
|
|
# sur la seule continuite. C'est la propriete qui manquait auparavant.
|
|
#
|
|
# Deux reserves, a connaitre plutot qu'a ignorer :
|
|
# - la page decrit cette cle comme servant aux ARTEFACTS MAVEN, pas aux archives de
|
|
# distribution ; c'est notre verification qui etablit que c'est la meme cle (le `.asc`
|
|
# de l'archive GitHub est valide par elle) ;
|
|
# - la cle est AUTO-SIGNEE, sans aucune certification tierce : pas de toile de confiance.
|
|
# L'ancrage vaut donc ce que vaut le controle de keycloak.org (DNS + TLS).
|
|
#
|
|
# Un changement d'empreinte en amont fera ECHOUER le remplissage du cache — c'est voulu :
|
|
# il exige une relecture humaine, pas un remplacement silencieux.
|
|
serveur_keycloak_signature_empreinte: "861AB50E8CC6611FB6BC01A6B8F12EA26FD6EEBA"
|
|
serveur_keycloak_signature_url: "{{ serveur_keycloak_url }}.asc"
|
|
|
|
# --- Sonde de supervision -----------------------------------------------------------
|
|
# Keycloak ecoute EN CLAIR derriere l'edge : viser le port TLS en dur casserait sur toute
|
|
# installation derriere un proxy (verifie le 2026-09-10 : 8080, pas 8443).
|
|
serveur_keycloak_sonde_url: "http://127.0.0.1:8080"
|
|
serveur_keycloak_sonde_realm: "{{ serveur_keycloak_realm }}"
|