Daniel Allaire
22ef279464
Une règle qu'aucune garde ne vérifie finit par ne plus être vraie — c'est ce qui était arrivé aux 28 lignes d'intégration recopiées. Chaque rôle serveur_* porte un meta/authentification.yml, confronté à son code par P29. web-sso 5, socle-identite 2 (keycloak/openldap : ils SONT la chaîne d'identité), ldap-direct 2, interne-sans-auth 2, sans-auth-humaine 12. La preuve refuse l'oubli ET le mensonge. Éprouvée par sabotage sur sept cas : déclaration supprimée, portée inventée, secours retiré, posture de formulaire retirée, raison retirée, ldap-direct mensonger, réglage retiré des defaults. Les deux derniers passaient dans la première version : - le mensonge passait à cause d'un commentaire. Je cherchais le mot « ldap » dans le rôle, et serveur_grafana/defaults/main.yml contient « désactiver quelqu'un dans LDAP » : de la prose validait une déclaration fausse. La preuve exige maintenant un indice nommé — variable <rôle>_oidc / <rôle>_ldap, ou URI ldap:// - le réglage retiré passait parce que le gabarit citait encore la variable alors que plus rien ne lui donnait de valeur. La preuve lit defaults/main.yml en YAML et exige que la clé y soit définie, pas mentionnée. Elle a aussi forcé une valeur : oauth2-proxy était déclaré « formulaire local fermé » alors qu'il n'a aucun compte local. D'où formulaire_local: aucun, qui distingue « il n'y en a jamais eu » de « il y en a un, il est fermé ». Correction d'une note de la veille : Prometheus et Loki ne sont PAS exposés publiquement (aucun expose au plan). Seuls six groupes le sont. Le risque est intra-tenant, pas frontalier. Les deux lacunes sont comptées à chaque exécution, pas masquées. AFF-111, D-42. 29 preuves OK, ansible-lint (production) sur 375 fichiers. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> |
||
|---|---|---|
| .. | ||
| defaults | ||
| handlers | ||
| meta | ||
| tasks | ||
| templates | ||
| README.md | ||
serveur_oauth2_proxy
Passerelle SSO générique : place Keycloak devant n'importe quelle application qui n'a pas d'OIDC natif. L'utilisateur s'authentifie une fois auprès de Keycloak ; l'application le reçoit via un en-tête (authentification « external »).
C'est le patron réutilisable qui évite d'écrire une intégration OIDC par application. Éprouvé devant Icinga Web 2.
Comment ça s'assemble
navigateur → edge nginx (TLS) → oauth2-proxy :4180 → application (127.0.0.1:8080)
↓
Keycloak (OIDC)
L'application passe en auth: external et lit REMOTE_USER, posé par nginx depuis l'en-tête
de la passerelle. Elle n'a aucune connaissance d'OIDC.
Rôle
- Installe le binaire Go officiel depuis les releases GitHub (pas d'apt), sous
/usr/local/bin/oauth2-proxy, avec un utilisateur système dédié. - Déploie la configuration et l'unité systemd, active le service.
- Assère d'entrée toute la configuration OIDC obligatoire — pas de démarrage à moitié configuré.
Variables obligatoires (par instance)
| Variable | Rôle |
|---|---|
serveur_oauth2_proxy_client_id |
Client OIDC déclaré dans Keycloak |
serveur_oauth2_proxy_client_secret |
Secret du client (voûte) |
serveur_oauth2_proxy_redirect_url |
https://<app>/oauth2/callback |
serveur_oauth2_proxy_upstream |
Application protégée (ex. http://127.0.0.1:8080) |
serveur_oauth2_proxy_cookie_secret |
32 octets base64 (voûte, vault_oauth2_cookie) |
Autres variables
| Variable | Défaut | Rôle |
|---|---|---|
serveur_oauth2_proxy_version |
v7.15.3 |
Version épinglée |
serveur_oauth2_proxy_ecoute |
0.0.0.0:4180 |
L'edge proxifie ici |
serveur_oauth2_proxy_realm |
{{ identite_realm }} |
Realm applicatif |
serveur_oauth2_proxy_issuer |
https://keycloak.<domaine>/realms/<realm> |
Émetteur OIDC |
serveur_oauth2_proxy_email_domains |
* |
Tout utilisateur authentifié par Keycloak |
serveur_oauth2_proxy_allow_unverified_email |
true |
Voir ci-dessous |
serveur_oauth2_proxy_ca_bundle |
/etc/ssl/certs/ca-certificates.crt |
Racine step_ca (via client_pki) |
Notes / limites
allow_unverified_email: trueest nécessaire ici : les comptes viennent de l'annuaire LDAP, qui ne porte pas de drapeauemail_verified. L'IdP est interne et de confiance ; sans ce réglage, aucune connexion ne passe.- La version est épinglée : une montée de version est un geste délibéré (relire les notes de version d'oauth2-proxy, les options changent de nom entre majeures).
- Le service écoute en clair sur
:4180— le TLS est terminé à l'edge. À restreindre à l'edge par pare-feu (meta/flux.yml,pair: edge). - Une instance protège une application (upstream unique). Deux applications = deux instances (ou un déploiement par nœud applicatif).
Prérequis
client_pki(confiance step_ca pour joindre Keycloak en HTTPS) etserveur_keycloakactif.- Le client OIDC doit exister dans le realm Keycloak, avec la bonne URL de redirection.