History

Daniel Allaire b4e3520561 annuaire : un compte de service par consommateur, et la porte se ferme Keycloak, Dovecot, Postfix et Icinga Web 2 se liaient TOUS avec cn=admin, le compte d administration de la base. C est le rootDN : slapd lui fait contourner toutes les ACL. Un seul secret, quatre services, tous les droits sur l arbre — pour ce qui est, trois fois sur quatre, une simple lecture. Et les droits livres par Debian etaient intacts : `to * by * read`. Sur ldap://, sans s authentifier, une machine du reseau enumerait tous les comptes et toutes les adresses. Des comptes a droits mesures n auraient rien valu tant que cette ligne restait : on aurait ferme la porte en laissant la fenetre. L indice etait deja dans le depot. `validatePasswordPolicy` existe parce que slapd n applique pas ses controles de qualite au rootDN : la consequence etait compensee, la cause intacte. - ou=services, un compte par consommateur, secret propre en voute - sept regles d acces posees EN ENTIER (state: exact) : l ordre est la regle, et inserer c est parier sur ce que le paquet aura mis avant nous - amorcage_acces garde le compte d administration, NOMME comme l exception : il ne consomme pas l annuaire, il le provisionne depuis la socket locale - la sonde passe de -x a -Y EXTERNAL : elle lisait en anonyme et aurait annonce un annuaire VIDE sur un annuaire parfaitement sain - la rotation du compte d administration devient possible (elle n etait posee qu a l installation, par debconf : la voute et slapd divergeaient en silence) Quatre marches payees en chemin : 1. un cinquieme appelant oublie, dont l echec etait masque par no_log — la garde refuse desormais SANS no_log : elle nomme la cle absente, jamais son contenu 2. la federation Keycloak ne reecrivait son bindDn que si l URL ou le mode changeaient — nouveau secret, ancien nom, error code 49 3. la rotation placee APRES les taches qui se lient en administrateur 4. ansible-vault et son tube : sortie non bloquante = echec silencieux, la voute paraissait tournee et etait identique a l octet P72 exige que tout role incluant resoudre_annuaire NOMME son compte, et qu aucun sauf amorcage_acces ne nomme admin. Eprouvee dans les deux sens. Verifie sur l infrastructure : chaque compte lit ce qu il doit, aucun ne voit les autres, la lecture anonyme rend 0 entree, et les quatre services repondent (doveadm user, postmap -q, decouverte OIDC 200, portier SSO 200). vault_openldap_admin et vault_ldap_bind_postfix renouveles : les deux avaient transite en clair par une session d exploitation. Les anciennes valeurs rendent Invalid credentials (49). make prouver : 71 OK, 0 echec, 1 saute. ansible-lint : 0 failure, profil production. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q		2026-09-13 13:36:38 -04:00
..
defaults	identite : « mot de passe oublie » — raccord SMTP derive du plan	2026-08-08 06:08:06 -04:00
tasks	annuaire : un compte de service par consommateur, et la porte se ferme	2026-09-13 13:36:38 -04:00
README.md	amorcage_acces : le role qui cree UN acces puis se retire	2026-08-07 13:42:27 -04:00

README.md

amorcage_acces — l'accès initial du sysadmin

Crée un compte (uid=sysadmin) et un groupe (cn=sysadmin) dans LDAP, une seule fois, pour que l'exploitant puisse prendre la main. Puis se retire.

Ce qu'il ne fait pas

Ce n'est pas un gestionnaire de comptes. Après son passage, créer, suspendre ou réaffecter relève d'une personne — pas du dépôt (D-67, docs/autorisation.md).

Idempotence par existence, pas par conformité

C'est ce qui distingue ce rôle de tous les autres du dépôt.

compte absent  → créé, secret généré en voûte, changement forcé
compte présent → AUCUNE action, quel que soit son état

Un compte présent est laissé strictement intact : ni mot de passe, ni groupes, ni attributs. Il a pu être renommé, promu, déplacé — c'est le droit de celui qui exploite.

Partout ailleurs dans Set-OPS, un écart entre le déclaré et le réel est un défaut à corriger. Ici, l'écart est le travail du sysadmin. Réconcilier effacerait le compte créé la veille pour un nouvel employé.

Le secret d'amorçage

vault_sysadmin_amorcage est généré — le dépôt en est la source, puisque personne n'existe encore pour le choisir. Mais ce n'est jamais le mot de passe de quelqu'un : pwdReset impose son changement à la première ouverture.

Sans ce changement, l'auteur du déploiement connaîtrait le mot de passe du sysadmin.

Où il s'exécute

Sur l'hôte qui porte serveur_openldap — il écrit par ldapi:///, socket locale. La connexion à l'annuaire est dérivée par resoudre_annuaire, jamais écrite.

Après

docs/autorisation.md §6 est le runbook de reprise : où administrer quoi, comment se rouvrir si on se ferme dehors, et ce qu'il faut régénérer pour que la livraison soit un vrai transfert.