Daniel Allaire
67699e7841
serveur_grafana : config OIDC via GF_AUTH_GENERIC_OAUTH_* (client grafana, realm chezlepro, secret vault_grafana_oidc). serveur_loki/prometheus/grafana déployés sur obs-01. Fix serveur_loki : créer le groupe loki (paquet crée l'user en nogroup). Prouvé (flux authorization code headless via l'edge) : testmail (LDAP) se connecte à Grafana par le SSO ; /api/user renvoie login/email/name fédérés depuis LDAP. Chaîne LDAP → Keycloak → Grafana. Gaps notés : enregistrement du client OIDC dans Keycloak fait via kcadm à la main (à codifier) ; résolution keycloak→edge sur obs-01 = /etc/hosts manuel (PowerDNS devrait porter les A d'exposition) ; mapping de rôles Grafana. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
34 lines
1.7 KiB
YAML
34 lines
1.7 KiB
YAML
---
|
|
serveur_grafana_paquets:
|
|
- grafana
|
|
|
|
serveur_grafana_service: "grafana-server"
|
|
serveur_grafana_port: 3000
|
|
|
|
# Publication (derriere serveur_nginx, TLS termine a l'edge).
|
|
serveur_grafana_hostname: "grafana.{{ domaine_interne }}"
|
|
serveur_grafana_root_url: "https://{{ serveur_grafana_hostname }}/"
|
|
|
|
# Datasources (Prometheus + Loki, co-localises sur obs-01).
|
|
serveur_grafana_prometheus_url: "http://localhost:9090"
|
|
serveur_grafana_loki_url: "http://localhost:3100"
|
|
|
|
# Secret OBLIGATOIRE (Ansible Vault).
|
|
serveur_grafana_admin_password: "{{ vault_grafana_admin | default('') }}" # rempli depuis la voute (vault_grafana_admin)
|
|
|
|
# --- SSO OIDC (Keycloak, realm applicatif) ---
|
|
# « Se connecter avec Chezlepro » : Grafana délègue l'auth à Keycloak (client confidentiel).
|
|
# Requiert client_pki sur ce nœud (confiance step_ca pour les appels serveur→Keycloak) +
|
|
# résolution de l'hôte Keycloak (edge). Le client OIDC doit exister dans le realm.
|
|
serveur_grafana_oidc_actif: true
|
|
serveur_grafana_oidc_nom: "Chezlepro"
|
|
serveur_grafana_oidc_client_id: "grafana"
|
|
serveur_grafana_oidc_client_secret: "{{ vault_grafana_oidc | default('') }}" # voûte (vault_grafana_oidc)
|
|
serveur_grafana_oidc_realm: "chezlepro"
|
|
serveur_grafana_oidc_base: "https://keycloak.{{ domaine_interne }}/realms/{{ serveur_grafana_oidc_realm }}/protocol/openid-connect"
|
|
serveur_grafana_oidc_scopes: "openid email profile"
|
|
|
|
# Depot apt officiel Grafana (partage avec serveur_loki).
|
|
serveur_grafana_depot_cle_url: "https://apt.grafana.com/gpg-full.key"
|
|
serveur_grafana_depot_cle_fichier: "/etc/apt/keyrings/grafana.asc"
|
|
serveur_grafana_depot_source: "deb [signed-by=/etc/apt/keyrings/grafana.asc] https://apt.grafana.com stable main"
|