Daniel Allaire
ba70b80197
Cree uid=sysadmin et cn=sysadmin dans LDAP. Prouve sur idm-01 : le compte
s'authentifie, et le second passage ne touche a rien (changed=0, 7 taches
sautees) — idempotence par EXISTENCE, pas par conformite (D-67).
Il suit l'annuaire au lieu de se declarer au plan : il ecrit par `ldapi:///` et
doit tourner sur cet hote. Le declarer comme groupe obligerait chaque instance a
le poser sur le bon hote, et elles ne le nomment pas pareil (idm-01 ici,
id-ldap-01 chez Technolibre) — je l'ai d'abord pose sur infra-pki-01 par erreur.
Trois defauts trouves en le construisant :
1. `pwdReset` n'existe pas dans ce schema (overlay ppolicy non charge) :
l'entree entiere etait rejetee et `no_log` masquait la cause. J'avais suppose
un mecanisme sans verifier. Le role le DETECTE maintenant, et la doctrine ne
promet plus un changement force qui n'a pas lieu.
2. Le mot de passe aurait ete stocke EN CLAIR : `ldap_entry` ecrit userPassword
litteralement. Hache par `slappasswd -h {SSHA}` desormais.
3. `voute.py` ne scannait que roles/<groupe> : un role applique par un playbook
sans etre un groupe echappait au recensement, ce que D-20 interdit. Il suit
maintenant les listes `roles:` des playbooks.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
23 lines
861 B
YAML
23 lines
861 B
YAML
---
|
|
- name: Appliquer le groupe serveur_openldap
|
|
hosts: serveur_openldap
|
|
become: true
|
|
gather_facts: true
|
|
|
|
pre_tasks:
|
|
- name: Vérifier que la cible est Debian
|
|
ansible.builtin.assert:
|
|
that:
|
|
- ansible_facts.distribution == "Debian"
|
|
fail_msg: "Ce playbook est prévu pour Debian."
|
|
|
|
roles:
|
|
- serveur_openldap
|
|
# L'AMORCAGE DES ACCES suit l'annuaire, il ne se declare pas au plan : il
|
|
# ecrit par `ldapi:///` (socket locale) et doit donc tourner ICI. Le declarer
|
|
# comme groupe obligerait chaque instance a le poser sur le bon hote — et les
|
|
# instances ne nomment pas cet hote pareil (`idm-01` ici, `id-ldap-01` la).
|
|
#
|
|
# Rejoue a chaque deploiement, et c'est voulu : il est idempotent PAR
|
|
# EXISTENCE (D-67). Compte present -> aucune action, quel que soit son etat.
|
|
- amorcage_acces
|