Daniel Allaire
b4e3520561
Keycloak, Dovecot, Postfix et Icinga Web 2 se liaient TOUS avec cn=admin, le compte d administration de la base. C est le rootDN : slapd lui fait contourner toutes les ACL. Un seul secret, quatre services, tous les droits sur l arbre — pour ce qui est, trois fois sur quatre, une simple lecture. Et les droits livres par Debian etaient intacts : `to * by * read`. Sur ldap://, sans s authentifier, une machine du reseau enumerait tous les comptes et toutes les adresses. Des comptes a droits mesures n auraient rien valu tant que cette ligne restait : on aurait ferme la porte en laissant la fenetre. L indice etait deja dans le depot. `validatePasswordPolicy` existe parce que slapd n applique pas ses controles de qualite au rootDN : la consequence etait compensee, la cause intacte. - ou=services, un compte par consommateur, secret propre en voute - sept regles d acces posees EN ENTIER (state: exact) : l ordre est la regle, et inserer c est parier sur ce que le paquet aura mis avant nous - amorcage_acces garde le compte d administration, NOMME comme l exception : il ne consomme pas l annuaire, il le provisionne depuis la socket locale - la sonde passe de -x a -Y EXTERNAL : elle lisait en anonyme et aurait annonce un annuaire VIDE sur un annuaire parfaitement sain - la rotation du compte d administration devient possible (elle n etait posee qu a l installation, par debconf : la voute et slapd divergeaient en silence) Quatre marches payees en chemin : 1. un cinquieme appelant oublie, dont l echec etait masque par no_log — la garde refuse desormais SANS no_log : elle nomme la cle absente, jamais son contenu 2. la federation Keycloak ne reecrivait son bindDn que si l URL ou le mode changeaient — nouveau secret, ancien nom, error code 49 3. la rotation placee APRES les taches qui se lient en administrateur 4. ansible-vault et son tube : sortie non bloquante = echec silencieux, la voute paraissait tournee et etait identique a l octet P72 exige que tout role incluant resoudre_annuaire NOMME son compte, et qu aucun sauf amorcage_acces ne nomme admin. Eprouvee dans les deux sens. Verifie sur l infrastructure : chaque compte lit ce qu il doit, aucun ne voit les autres, la lecture anonyme rend 0 entree, et les quatre services repondent (doveadm user, postmap -q, decouverte OIDC 200, portier SSO 200). vault_openldap_admin et vault_ldap_bind_postfix renouveles : les deux avaient transite en clair par une session d exploitation. Les anciennes valeurs rendent Invalid credentials (49). make prouver : 71 OK, 0 echec, 1 saute. ansible-lint : 0 failure, profil production. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
63 lines
3.4 KiB
YAML
63 lines
3.4 KiB
YAML
---
|
|
# Rôle utilitaire (pas un groupe déployable) : résout la connexion à l'annuaire (OpenLDAP)
|
|
# de façon déclarative, dérivée du domaine interne + de l'hôte d'annuaire. Remplace le
|
|
# câblage LDAP répété dans serveur_dovecot/postfix/keycloak/icingaweb2.
|
|
#
|
|
# Sorties (facts) :
|
|
# resoudre_annuaire_fqdn — id-ldap-01.<domaine>
|
|
# resoudre_annuaire_uri — ldaps://id-ldap-01.<domaine>
|
|
# resoudre_annuaire_base_dn — dc=...,dc=...
|
|
# resoudre_annuaire_users_dn — ou=people,dc=...
|
|
# resoudre_annuaire_bind_dn — cn=<service>,ou=services,dc=...
|
|
# resoudre_annuaire_bind_password — secret déréférencé depuis la voûte (no_log)
|
|
- name: Exiger un domaine interne non vide
|
|
ansible.builtin.assert:
|
|
that:
|
|
- domaine_interne is defined
|
|
- domaine_interne | length > 0
|
|
fail_msg: "domaine_interne doit être défini pour résoudre l'annuaire."
|
|
|
|
- name: Charger le registre des applications (hôte de l'annuaire)
|
|
ansible.builtin.include_vars:
|
|
file: "{{ setops_plan_dir }}/applications.yml"
|
|
failed_when: false
|
|
|
|
- name: Dériver l'hôte de l'annuaire depuis le plan
|
|
ansible.builtin.set_fact:
|
|
resoudre_annuaire_hote: "{{ (applications | default({})).get(resoudre_annuaire_app, {}).get('hote') }}"
|
|
when: ((applications | default({})).get(resoudre_annuaire_app, {}).get('hote') | default('')) | length > 0
|
|
|
|
# set_fact (pas les defaults) pour que ces valeurs persistent dans le rôle consommateur
|
|
# après include_role (les defaults du rôle inclus ne fuient pas hors de son exécution).
|
|
- name: Dériver la connexion à l'annuaire
|
|
ansible.builtin.set_fact:
|
|
resoudre_annuaire_fqdn: "{{ resoudre_annuaire_hote }}.{{ domaine_interne }}"
|
|
resoudre_annuaire_uri: "{{ resoudre_annuaire_encryption }}://{{ resoudre_annuaire_hote }}.{{ domaine_interne }}"
|
|
resoudre_annuaire_port: "{{ resoudre_annuaire_port }}"
|
|
resoudre_annuaire_base_dn: "dc={{ domaine_interne.split('.') | join(',dc=') }}"
|
|
resoudre_annuaire_users_dn: "ou=people,dc={{ domaine_interne.split('.') | join(',dc=') }}"
|
|
resoudre_annuaire_bind_dn: >-
|
|
cn={{ resoudre_annuaire_bind_cn }},{{ ('ou=' ~ resoudre_annuaire_bind_ou ~ ',')
|
|
if resoudre_annuaire_bind_ou | length > 0 else '' }}dc={{ domaine_interne.split('.') | join(',dc=') }}
|
|
|
|
# UNE GARDE CENSUREE NE GARDE PAS (mesure du 2026-09-13). La premiere version
|
|
# dereferencait directement : quand le secret manquait, `lookup('vars', ...)` levait — et
|
|
# `no_log: true`, qui protege legitimement la VALEUR, masquait aussi la RAISON. Le
|
|
# deploiement s'arretait sur « the output has been hidden », ce qui ne designe rien.
|
|
#
|
|
# On dereference donc avec un repli, puis on refuse dans une tache SANS `no_log` : elle
|
|
# ne nomme que la cle absente, jamais son contenu.
|
|
- name: Déréférencer le mot de passe de bind (Vault)
|
|
ansible.builtin.set_fact:
|
|
resoudre_annuaire_bind_password: "{{ lookup('vars', resoudre_annuaire_secret, default='') }}"
|
|
no_log: true
|
|
|
|
- name: Exiger que le compte de liaison ait un secret
|
|
ansible.builtin.assert:
|
|
that:
|
|
- resoudre_annuaire_bind_password | length > 0
|
|
fail_msg: >-
|
|
Le compte de liaison « {{ resoudre_annuaire_bind_dn }} » n'a pas de secret :
|
|
la cle « {{ resoudre_annuaire_secret }} » est absente ou vide dans la voute.
|
|
Un role qui consomme l'annuaire doit nommer SON compte de service — voir
|
|
roles/resoudre_annuaire/defaults/main.yml.
|