Mathieu Benoit
bff1396af3
Le defaut `id-ldap-01` tenait des que le plan se taisait : la derivation depuis `applications.<app>.hote` etait sautee, et le role batissait `ldaps://<ce nom>` — une machine qui n est dans aucun plan. Le consommateur echouait au premier bind, apres un deploiement passe au vert de bout en bout. La derivation avait ete ajoutee pour corriger exactement cela ; le defaut est reste et ramenait l ancien comportement. Il est desormais vide, et une assertion refuse AU DEPLOIEMENT. Une instance garde le droit de poser l hote explicitement : ce qui disparait est la valeur DEVINEE, pas la surcharge. Assisted-by: Claude Opus 5
84 lines
4.4 KiB
YAML
84 lines
4.4 KiB
YAML
---
|
|
# Rôle utilitaire (pas un groupe déployable) : résout la connexion à l'annuaire (OpenLDAP)
|
|
# de façon déclarative, dérivée du domaine interne + de l'hôte d'annuaire. Remplace le
|
|
# câblage LDAP répété dans serveur_dovecot/postfix/keycloak/icingaweb2.
|
|
#
|
|
# Sorties (facts) :
|
|
# resoudre_annuaire_fqdn — id-ldap-01.<domaine>
|
|
# resoudre_annuaire_uri — ldaps://id-ldap-01.<domaine>
|
|
# resoudre_annuaire_base_dn — dc=...,dc=...
|
|
# resoudre_annuaire_users_dn — ou=people,dc=...
|
|
# resoudre_annuaire_bind_dn — cn=<service>,ou=services,dc=...
|
|
# resoudre_annuaire_bind_password — secret déréférencé depuis la voûte (no_log)
|
|
- name: Exiger un domaine interne non vide
|
|
ansible.builtin.assert:
|
|
that:
|
|
- domaine_interne is defined
|
|
- domaine_interne | length > 0
|
|
fail_msg: "domaine_interne doit être défini pour résoudre l'annuaire."
|
|
|
|
- name: Charger le registre des applications (hôte de l'annuaire)
|
|
ansible.builtin.include_vars:
|
|
file: "{{ setops_plan_dir }}/applications.yml"
|
|
failed_when: false
|
|
|
|
# `default('', true)` ET PAS `default('')` — LA DIFFERENCE EST TOUT LE DEFAUT (2026-09-14).
|
|
#
|
|
# `.get('hote')` rend `None` quand l'application existe sans hote, et `default('')` ne
|
|
# remplace que l'INDEFINI : un `None` le traverse intact, puis `| length` le heurte :
|
|
#
|
|
# object of type 'NoneType' has no len()
|
|
#
|
|
# Un message qui ne nomme ni l'annuaire, ni le role qui le demandait, ni la raison. Le
|
|
# second argument de `default` dit « remplace aussi ce qui est faux » — c'est-a-dire
|
|
# `None`, la chaine vide et zero.
|
|
- name: Dériver l'hôte de l'annuaire depuis le plan
|
|
ansible.builtin.set_fact:
|
|
resoudre_annuaire_hote: "{{ (applications | default({})).get(resoudre_annuaire_app, {}).get('hote') }}"
|
|
when: ((applications | default({})).get(resoudre_annuaire_app, {}).get('hote') | default('', true)) | length > 0
|
|
|
|
- name: Exiger que le plan nomme l'hôte de l'annuaire
|
|
ansible.builtin.assert:
|
|
that:
|
|
- resoudre_annuaire_hote | length > 0
|
|
fail_msg: >-
|
|
L'application « {{ resoudre_annuaire_app }} » n'est pas au plan, et aucune
|
|
instance ne pose `resoudre_annuaire_hote` : rien ne nomme l'annuaire. Le rôle
|
|
qui le demande ne peut pas s'y lier. Un nom deviné ici produirait
|
|
« Unable to bind » sur une machine qui n'est dans aucun plan — et le
|
|
déploiement passerait au VERT jusque-là.
|
|
|
|
# set_fact (pas les defaults) pour que ces valeurs persistent dans le rôle consommateur
|
|
# après include_role (les defaults du rôle inclus ne fuient pas hors de son exécution).
|
|
- name: Dériver la connexion à l'annuaire
|
|
ansible.builtin.set_fact:
|
|
resoudre_annuaire_fqdn: "{{ resoudre_annuaire_hote }}.{{ domaine_interne }}"
|
|
resoudre_annuaire_uri: "{{ resoudre_annuaire_encryption }}://{{ resoudre_annuaire_hote }}.{{ domaine_interne }}"
|
|
resoudre_annuaire_port: "{{ resoudre_annuaire_port }}"
|
|
resoudre_annuaire_base_dn: "dc={{ domaine_interne.split('.') | join(',dc=') }}"
|
|
resoudre_annuaire_users_dn: "ou=people,dc={{ domaine_interne.split('.') | join(',dc=') }}"
|
|
resoudre_annuaire_bind_dn: >-
|
|
cn={{ resoudre_annuaire_bind_cn }},{{ ('ou=' ~ resoudre_annuaire_bind_ou ~ ',')
|
|
if resoudre_annuaire_bind_ou | length > 0 else '' }}dc={{ domaine_interne.split('.') | join(',dc=') }}
|
|
|
|
# UNE GARDE CENSUREE NE GARDE PAS (mesure du 2026-09-13). La premiere version
|
|
# dereferencait directement : quand le secret manquait, `lookup('vars', ...)` levait — et
|
|
# `no_log: true`, qui protege legitimement la VALEUR, masquait aussi la RAISON. Le
|
|
# deploiement s'arretait sur « the output has been hidden », ce qui ne designe rien.
|
|
#
|
|
# On dereference donc avec un repli, puis on refuse dans une tache SANS `no_log` : elle
|
|
# ne nomme que la cle absente, jamais son contenu.
|
|
- name: Déréférencer le mot de passe de bind (Vault)
|
|
ansible.builtin.set_fact:
|
|
resoudre_annuaire_bind_password: "{{ lookup('vars', resoudre_annuaire_secret, default='') }}"
|
|
no_log: true
|
|
|
|
- name: Exiger que le compte de liaison ait un secret
|
|
ansible.builtin.assert:
|
|
that:
|
|
- resoudre_annuaire_bind_password | length > 0
|
|
fail_msg: >-
|
|
Le compte de liaison « {{ resoudre_annuaire_bind_dn }} » n'a pas de secret :
|
|
la cle « {{ resoudre_annuaire_secret }} » est absente ou vide dans la voute.
|
|
Un role qui consomme l'annuaire doit nommer SON compte de service — voir
|
|
roles/resoudre_annuaire/defaults/main.yml.
|