Daniel Allaire
aab1bcc83a
README reduit au role du projet et au demarrage rapide. docs/architecture.md (schemas Mermaid), docs/setup.md, docs/usage.md (154 cibles en 13 familles), docs/README.md (index). Documents ranges en conception/, exploitation/, hebergement/, projet/ ; 598 chemins suivis. QUICKSTART.md, SOLUTION.md, architecture-set-ops.md et la carte fondus puis retires. Preuves : P48 lit l'index et conception/mecanismes.md ; les gardes parcourent docs/ sous- dossiers compris (_documents) ; usage.md suit le Makefile dans les deux sens. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
44 lines
2.2 KiB
YAML
44 lines
2.2 KiB
YAML
---
|
|
# --- AMORCAGE DES ACCES (D-67) ------------------------------------------------
|
|
# Ce role cree UN acces — celui du sysadmin — puis se retire. Il n'est PAS un
|
|
# gestionnaire de comptes : apres son passage, c'est une personne qui gouverne.
|
|
#
|
|
# IDEMPOTENCE PAR EXISTENCE, PAS PAR CONFORMITE. Si le compte est la, on n'y
|
|
# touche pas : ni mot de passe, ni groupes, ni attributs. Il a pu etre renomme,
|
|
# promu, deplace — c'est le droit de celui qui exploite. Reconcilier effacerait
|
|
# le compte cree la veille pour un nouvel employe.
|
|
#
|
|
# Voir docs/exploitation/autorisation.md (§6 = runbook de reprise).
|
|
|
|
amorcage_acces_actif: true
|
|
|
|
# Le compte d'amorcage. `uid` est l'identifiant de connexion.
|
|
amorcage_acces_uid: "sysadmin"
|
|
amorcage_acces_nom: "Administrateur systeme"
|
|
# A DECLARER — la seule valeur de ce role qui ne peut PAS se deriver. Elle
|
|
# designe une personne, qui est par definition hors du systeme qu'on amorce :
|
|
# une adresse `{{ amorcage_acces_uid }}@{{ '{{' }} domaine_interne {{ '}}' }}`
|
|
# serait servie par une boite que l'exploitant ne peut pas encore lire.
|
|
#
|
|
# Sans elle, « mot de passe oublie » (serveur_keycloak) affiche un ecran qui
|
|
# promet un courriel dont l'adresse n'existe nulle part, et le seul recours
|
|
# redevient l'exploitant manipulant le mot de passe d'autrui.
|
|
amorcage_acces_courriel: ""
|
|
|
|
# Le groupe qui porte l'habilitation. Les services le reconnaissent par
|
|
# `meta/acces.yml` — eux sont reconcilies, l'appartenance ne l'est pas.
|
|
amorcage_acces_groupe: "sysadmin"
|
|
|
|
# Le secret d'amorcage. GENERE par le depot (il en est la source : personne
|
|
# n'existe encore pour le choisir), depose en voute, et CHANGE A LA PREMIERE
|
|
# OUVERTURE. Ce n'est donc jamais *le* mot de passe de quelqu'un : c'est un jeton
|
|
# a usage unique. Sans le changement force, l'auteur du deploiement connaitrait
|
|
# le mot de passe du sysadmin.
|
|
amorcage_acces_secret: "{{ vault_sysadmin_amorcage | default('') }}"
|
|
|
|
# Force le changement a la premiere connexion (attribut LDAP `pwdReset`, lu par
|
|
# Keycloak et par la politique de mot de passe de slapd).
|
|
amorcage_acces_changement_force: true
|
|
|
|
# Connexion a l'annuaire — DERIVEE par le role `resoudre_annuaire`, jamais ecrite.
|
|
amorcage_acces_admin_password: "{{ vault_openldap_admin | default('') }}"
|