Daniel Allaire
a5903f192b
step ca certificate ne recevait aucun --san explicite. Ajout d'une liste client_pki_sans (FQDN + nom court + IP) et d'une boucle --san dans la commande. Le cert porte désormais DNS:fqdn, DNS:court, IP:adresse — avec EKU Server+Client Auth, prêt pour un mTLS bidirectionnel. Vérifié sur infra-dns-01 (ré-émission). Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
31 lines
1.4 KiB
YAML
31 lines
1.4 KiB
YAML
---
|
|
client_pki_paquets:
|
|
- step-cli
|
|
|
|
client_pki_steppath: "/etc/step"
|
|
|
|
# AC interne (serveur_step_ca / infra-pki-01).
|
|
client_pki_ca_url: "https://infra-pki-01.{{ domaine_interne }}:8443"
|
|
client_pki_provisioner: "admin@{{ domaine_interne }}"
|
|
|
|
# Identite de l'hote.
|
|
client_pki_nom_cert: "{{ ansible_fqdn | default(ansible_hostname) }}"
|
|
client_pki_cert: "{{ client_pki_steppath }}/certs/{{ client_pki_nom_cert }}.crt"
|
|
client_pki_cle: "{{ client_pki_steppath }}/certs/{{ client_pki_nom_cert }}.key"
|
|
|
|
# SANs du certificat (FQDN + nom court + IP). Requis pour un mTLS moderne :
|
|
# les clients TLS valident par le SAN, pas par le CN.
|
|
client_pki_sans:
|
|
- "{{ client_pki_nom_cert }}"
|
|
- "{{ ansible_hostname | default('') }}"
|
|
- "{{ ansible_host | default('') }}"
|
|
|
|
# Secrets OBLIGATOIRES (Ansible Vault).
|
|
client_pki_ca_fingerprint: "{{ vault_step_ca_fingerprint | default('') }}" # rempli depuis la voute (vault_step_ca_fingerprint)
|
|
client_pki_provisioner_password: "{{ vault_step_ca_provisioner_password | default('') }}" # rempli depuis la voute (vault_step_ca_provisioner_password)
|
|
|
|
# Depot apt officiel Smallstep (partage avec serveur_step_ca).
|
|
client_pki_depot_cle_url: "https://packages.smallstep.com/keys/apt/repo-signing-key.gpg"
|
|
client_pki_depot_cle_fichier: "/etc/apt/keyrings/smallstep.asc"
|
|
client_pki_depot_uri: "https://packages.smallstep.com/stable/debian"
|
|
client_pki_depot_suite: "debs"
|