Daniel Allaire
5108a6c04d
Décision d'archi : FQDN pour toute référence inter-services (non ambigu en fédération — data-sql-01 existe chez plusieurs tenants — + nom canonique TLS). - resoudre_base : db_host renvoie le FQDN (hote.domaine_interne) → propagé à keycloak/forgejo/icinga (ils en dérivent tous). Résolu par le plancher. - client_journal : loki_url dérivé du groupe serveur_loki en FQDN (fin du 10.0.14.11 périmé). - nettoyage des defaults db_host IP morts (10.0.13.11, écrasés par resoudre_base). Aucune IP littérale ne subsiste dans les defaults des rôles. verify-full OK (SAN FQDN). S'applique au prochain déploiement. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
43 lines
2.2 KiB
YAML
43 lines
2.2 KiB
YAML
---
|
|
# Rôle utilitaire (pas un groupe déployable) : résout l'entrée de base d'un
|
|
# consommateur depuis le registre partagé plan/bases-donnees.yml.
|
|
#
|
|
# Entrée : resoudre_base_groupe — le groupe consommateur (ex. serveur_keycloak).
|
|
# Sorties (facts) :
|
|
# resoudre_base_entree — l'entrée du registre {base, proprietaire, secret, serveur, ...}
|
|
# resoudre_base_db_password — mot de passe déréférencé depuis la voûte (no_log)
|
|
# resoudre_base_db_host — hôte du serveur de base
|
|
# resoudre_base_db_port — port du serveur de base (défaut 5432)
|
|
#
|
|
# Le secret ne quitte jamais le rôle consommateur (déréférencé par lookup('vars', ...)).
|
|
- name: Charger le registre des bases applicatives
|
|
ansible.builtin.include_vars:
|
|
file: "{{ setops_plan_dir }}/bases-donnees.yml"
|
|
|
|
- name: Résoudre l'entrée de base (par consommateur)
|
|
ansible.builtin.set_fact:
|
|
resoudre_base_entree: >-
|
|
{{ ((bases_donnees | default({})) | dict2items
|
|
| selectattr('value.consommateur', 'defined')
|
|
| selectattr('value.consommateur', 'equalto', resoudre_base_groupe)
|
|
| map(attribute='value') | list | first) | default({}) }}
|
|
|
|
- name: Exiger une entrée de registre et son secret
|
|
ansible.builtin.assert:
|
|
that:
|
|
- resoudre_base_entree.base is defined
|
|
- resoudre_base_entree.proprietaire is defined
|
|
- resoudre_base_entree.secret is defined
|
|
fail_msg: "Aucune base avec consommateur '{{ resoudre_base_groupe }}' dans instance/plan/bases-donnees.yml."
|
|
|
|
- name: Résoudre le mot de passe de base (Vault)
|
|
ansible.builtin.set_fact:
|
|
resoudre_base_db_password: "{{ lookup('vars', resoudre_base_entree.secret) }}"
|
|
no_log: true
|
|
|
|
- name: Résoudre l'hôte (FQDN) et le port du serveur de base (registre)
|
|
ansible.builtin.set_fact:
|
|
# FQDN (pas le nom court) : non ambigu en fédération (data-sql-01 existe chez
|
|
# plusieurs tenants) + nom canonique pour la vérif TLS. Résolu par le plancher /etc/hosts.
|
|
resoudre_base_db_host: "{{ (serveurs_bd | default({}))[resoudre_base_entree.serveur].hote }}.{{ domaine_interne }}"
|
|
resoudre_base_db_port: "{{ (serveurs_bd | default({}))[resoudre_base_entree.serveur].port | default(5432) }}"
|