Daniel Allaire
7dc7720b4b
Le rôle dérive l'empreinte à chaud depuis l'autorité, parce qu'un from-zero régénère l'AC avec une empreinte neuve. Figée en voûte, elle serait périmée dès la première reconstruction — et une empreinte périmée fait échouer le bootstrap de chaque hôte. Or `defaults/main.yml` portait encore un défaut lisant `vault_step_ca_fingerprint`. Ce défaut était mort : la tâche suivante écrase le fait sans condition, donc la valeur de la voûte n'avait aucun effet. Le recensement de voute.py s'y laissait prendre — il cherche la chaîne `vault_*` sans pouvoir savoir qu'un défaut n'est jamais lu. La « source unique » avait hérité de l'erreur, et le panneau réclamait un secret impossible à fournir avant que l'AC n'existe. Défaut retiré : la clé disparaît du recensement (25 -> 24 exigés), du gabarit et du panneau. `client_pki_ca_fingerprint_override` reste le moyen d'épingler une empreinte. `docs/intrants-communs.md` §H était une troisième copie manuelle de la liste des secrets, avec les deux mêmes erreurs ; elle renvoie maintenant à `voute.py lister` et à la preuve P18. Preuves : 24 OK, 0 échec ; voute.py verifier --strict passe. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
41 lines
1.9 KiB
YAML
41 lines
1.9 KiB
YAML
---
|
|
client_pki_paquets:
|
|
- step-cli
|
|
|
|
client_pki_steppath: "/etc/step"
|
|
|
|
# AC interne (serveur_step_ca / infra-pki-01).
|
|
client_pki_ca_url: "https://infra-pki-01.{{ domaine_interne }}:8443"
|
|
client_pki_provisioner: "admin@{{ domaine_interne }}"
|
|
|
|
# Identite de l'hote.
|
|
client_pki_nom_cert: "{{ ansible_fqdn | default(ansible_hostname) }}"
|
|
client_pki_cert: "{{ client_pki_steppath }}/certs/{{ client_pki_nom_cert }}.crt"
|
|
client_pki_cle: "{{ client_pki_steppath }}/certs/{{ client_pki_nom_cert }}.key"
|
|
|
|
# SANs du certificat (FQDN + nom court + IP). Requis pour un mTLS moderne :
|
|
# les clients TLS valident par le SAN, pas par le CN.
|
|
client_pki_sans:
|
|
- "{{ client_pki_nom_cert }}"
|
|
- "{{ ansible_hostname | default('') }}"
|
|
- "{{ ansible_host | default('') }}"
|
|
|
|
# L'empreinte du root CA n'est PAS un intrant : elle est DERIVEE a chaud depuis l'AC
|
|
# (tasks/main.yml), parce qu'un from-zero regenere l'autorite avec une empreinte neuve.
|
|
# La stocker en voute donnerait une valeur perimee des la premiere reconstruction.
|
|
# Pour epingler explicitement une empreinte : `client_pki_ca_fingerprint_override`.
|
|
client_pki_ca_fingerprint: ""
|
|
|
|
# Secret OBLIGATOIRE (Ansible Vault).
|
|
client_pki_provisioner_password: "{{ vault_step_ca_provisioner_password | default('') }}" # rempli depuis la voute (vault_step_ca_provisioner_password)
|
|
|
|
# Depot apt officiel Smallstep (partage avec serveur_step_ca).
|
|
client_pki_depot_cle_url: "https://packages.smallstep.com/keys/apt/repo-signing-key.gpg"
|
|
client_pki_depot_cle_fichier: "/etc/apt/keyrings/smallstep.asc"
|
|
client_pki_depot_uri: "https://packages.smallstep.com/stable/debian"
|
|
client_pki_depot_suite: "debs"
|
|
|
|
# Services a recharger apres un renouvellement de cert : les VRAIS consommateurs
|
|
# (nginx sur l'edge, postfix/dovecot sur le mail, slapd sur l'annuaire). Sans ca,
|
|
# le cert est renouvele sur disque mais le service sert l'ancien jusqu'a un reload.
|
|
client_pki_reload_services: []
|