Daniel Allaire
aab1bcc83a
README reduit au role du projet et au demarrage rapide. docs/architecture.md (schemas Mermaid), docs/setup.md, docs/usage.md (154 cibles en 13 familles), docs/README.md (index). Documents ranges en conception/, exploitation/, hebergement/, projet/ ; 598 chemins suivis. QUICKSTART.md, SOLUTION.md, architecture-set-ops.md et la carte fondus puis retires. Preuves : P48 lit l'index et conception/mecanismes.md ; les gardes parcourent docs/ sous- dossiers compris (_documents) ; usage.md suit le Makefile dans les deux sens. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
74 lines
2.5 KiB
YAML
74 lines
2.5 KiB
YAML
---
|
|
- name: Exiger la zone souveraine et un réseau autorisé
|
|
ansible.builtin.assert:
|
|
that:
|
|
- serveur_resolveur_zone_interne | length > 0
|
|
- serveur_resolveur_reseaux_autorises | length > 0
|
|
fail_msg: >-
|
|
serveur_resolveur exige `domaine_interne` et au moins un réseau dans
|
|
`serveur_resolveur_reseaux_autorises`. Un résolveur sans liste d'accès serait
|
|
soit muet, soit un relais ouvert.
|
|
|
|
- name: Installer le résolveur
|
|
ansible.builtin.apt:
|
|
name: "{{ serveur_resolveur_paquets }}"
|
|
state: present
|
|
update_cache: true
|
|
when: not ansible_check_mode
|
|
|
|
- name: Déployer la configuration Set-OPS
|
|
ansible.builtin.template:
|
|
src: setops.conf.j2
|
|
dest: /etc/unbound/unbound.conf.d/setops.conf
|
|
owner: root
|
|
group: root
|
|
mode: "0644"
|
|
notify: Redémarrer le résolveur
|
|
|
|
- name: Valider la configuration avant de la servir
|
|
ansible.builtin.command: unbound-checkconf
|
|
changed_when: false
|
|
when: not ansible_check_mode
|
|
|
|
- name: Activer et démarrer le résolveur
|
|
ansible.builtin.systemd:
|
|
name: "{{ serveur_resolveur_service }}"
|
|
enabled: true
|
|
state: started
|
|
when: not ansible_check_mode
|
|
|
|
- name: Appliquer les redémarrages avant de vérifier
|
|
ansible.builtin.meta: flush_handlers
|
|
|
|
# ÉCRIRE, PUIS RELIRE (D-68). Un résolveur « active » qui ne répond pas est le pire des
|
|
# cas : toute la flotte pointe vers lui, et découvre la panne en essayant de résoudre.
|
|
- name: Répond-il vraiment, pour l'interne ET pour l'Internet ?
|
|
ansible.builtin.command: "dig @{{ ansible_host }} {{ item.nom }} {{ item.type }} +short"
|
|
register: serveur_resolveur_controle
|
|
changed_when: false
|
|
failed_when: serveur_resolveur_controle.stdout | trim == ''
|
|
loop:
|
|
- { nom: "{{ serveur_resolveur_zone_interne }}", type: "SOA" }
|
|
- { nom: "deb.debian.org", type: "A" }
|
|
loop_control:
|
|
label: "{{ item.nom }} {{ item.type }}"
|
|
when: not ansible_check_mode
|
|
|
|
# --- Sonde de supervision (docs/conception/supervision-conception.md) --------------------------
|
|
# Le role qui possede la verite depose sa propre sonde ; le porteur (`client_sante`) la
|
|
# fait tourner et pousse le verdict, sans savoir ce qu'elle mesure.
|
|
- name: Assurer le repertoire des sondes de supervision
|
|
ansible.builtin.file:
|
|
path: /usr/local/lib/setops/sondes
|
|
state: directory
|
|
owner: root
|
|
group: root
|
|
mode: "0755"
|
|
|
|
- name: Deposer la sonde « resolution »
|
|
ansible.builtin.template:
|
|
src: sonde-resolution.sh.j2
|
|
dest: /usr/local/lib/setops/sondes/resolution.sh
|
|
owner: root
|
|
group: root
|
|
mode: "0750"
|