Alliance-Boreale/Set-OPS-Public
2
0
Fork 0
Code Issues Pull requests 1 Projects Releases Packages Wiki Activity
Set-OPS-Public/roles/serveur_oauth2_proxy
History
Daniel Allaire 53e2f78148 vigie : la console de supervision porte enfin un nom de fonction 
icinga.<tenant>.internal devient vigie.<tenant>.internal, sur les trois
locataires a la fois. Le mot avait ete ecarte pour Grafana precisement parce
qu il connote la guette du danger : c est le metier d Icinga.

Quatrieme recopie du meme FQDN a tomber : serveur_oauth2_proxy_redirect_url
etait posee a la main dans les group_vars de chaque instance. Elle derive
maintenant de serveur_oauth2_proxy_hostname. Le repli reste vide et non
fabrique : l assertion doit refuser un deploiement sans exposition, pas
inventer un nom que personne ne resout.

Deploye et VERIFIE sur Chezlepro : le SSO renvoie sur vigie, le certificat
servi porte observatoire et vigie et plus aucun ancien nom. Deployer nginx
pose le vhost mais laisse le SAN en arriere — c est client_pki qui reemet.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
2026-09-10 21:05:47 -04:00
..
defaults vigie : la console de supervision porte enfin un nom de fonction 2026-09-10 21:05:47 -04:00
handlers serveur_oauth2_proxy : passerelle SSO OIDC générique + Icinga Web 2 au SSO 2026-07-03 19:05:04 -04:00
meta authentification : chaque rôle déclare sa position, gardé par P29 2026-08-03 17:05:43 -04:00
tasks artefacts : le controleur telecharge et pousse, la cible ne tire plus 2026-08-10 20:58:58 -04:00
templates serveur_oauth2_proxy : passerelle SSO OIDC générique + Icinga Web 2 au SSO 2026-07-03 19:05:04 -04:00
README.md docs : un README par rôle (12 manquants) + carte remise à l'état du code 2026-07-29 11:32:06 -04:00

README.md

serveur_oauth2_proxy

Passerelle SSO générique : place Keycloak devant n'importe quelle application qui n'a pas d'OIDC natif. L'utilisateur s'authentifie une fois auprès de Keycloak ; l'application le reçoit via un en-tête (authentification « external »).

C'est le patron réutilisable qui évite d'écrire une intégration OIDC par application. Éprouvé devant Icinga Web 2.

Comment ça s'assemble

navigateur → edge nginx (TLS) → oauth2-proxy :4180 → application (127.0.0.1:8080)
                                       ↓
                                  Keycloak (OIDC)

L'application passe en auth: external et lit REMOTE_USER, posé par nginx depuis l'en-tête de la passerelle. Elle n'a aucune connaissance d'OIDC.

Rôle

  • Installe le binaire Go officiel depuis les releases GitHub (pas d'apt), sous /usr/local/bin/oauth2-proxy, avec un utilisateur système dédié.
  • Déploie la configuration et l'unité systemd, active le service.
  • Assère d'entrée toute la configuration OIDC obligatoire — pas de démarrage à moitié configuré.

Variables obligatoires (par instance)

Variable Rôle
serveur_oauth2_proxy_client_id Client OIDC déclaré dans Keycloak
serveur_oauth2_proxy_client_secret Secret du client (voûte)
serveur_oauth2_proxy_redirect_url https://<app>/oauth2/callback
serveur_oauth2_proxy_upstream Application protégée (ex. http://127.0.0.1:8080)
serveur_oauth2_proxy_cookie_secret 32 octets base64 (voûte, vault_oauth2_cookie)

Autres variables

Variable Défaut Rôle
serveur_oauth2_proxy_version v7.15.3 Version épinglée
serveur_oauth2_proxy_ecoute 0.0.0.0:4180 L'edge proxifie ici
serveur_oauth2_proxy_realm {{ identite_realm }} Realm applicatif
serveur_oauth2_proxy_issuer https://keycloak.<domaine>/realms/<realm> Émetteur OIDC
serveur_oauth2_proxy_email_domains * Tout utilisateur authentifié par Keycloak
serveur_oauth2_proxy_allow_unverified_email true Voir ci-dessous
serveur_oauth2_proxy_ca_bundle /etc/ssl/certs/ca-certificates.crt Racine step_ca (via client_pki)

Notes / limites

  • allow_unverified_email: true est nécessaire ici : les comptes viennent de l'annuaire LDAP, qui ne porte pas de drapeau email_verified. L'IdP est interne et de confiance ; sans ce réglage, aucune connexion ne passe.
  • La version est épinglée : une montée de version est un geste délibéré (relire les notes de version d'oauth2-proxy, les options changent de nom entre majeures).
  • Le service écoute en clair sur :4180 — le TLS est terminé à l'edge. À restreindre à l'edge par pare-feu (meta/flux.yml, pair: edge).
  • Une instance protège une application (upstream unique). Deux applications = deux instances (ou un déploiement par nœud applicatif).

Prérequis

  • client_pki (confiance step_ca pour joindre Keycloak en HTTPS) et serveur_keycloak actif.
  • Le client OIDC doit exister dans le realm Keycloak, avec la bonne URL de redirection.