Daniel Allaire
627ef00ec7
Le GUI n a aucune authentification : GET / sert la page a qui la demande, jeton ecrit dedans, et POST /api exige ce jeton que la page vient de donner. Le jeton garde contre le CSRF, pas contre un visiteur — la seule serrure est --hote 127.0.0.1. Ce qu il offre a qui entre : deployer, creer, raser, editer le plan. La fabric entiere. Le service reste donc sur la boucle locale. Ce qui est publie est un nginx local qui authentifie d abord : oidc par defaut (oauth2-proxy, donc un groupe d annuaire qu on revoque sans deploiement), locale en repli pour un ecosysteme sans annuaire. L authentification est posee au niveau du server, pas d un location. La sonde console-ops mesure une SERRURE : une requete anonyme doit etre REFUSEE. Un 200 y est la pire des reponses, et il ne fait echouer personne. P54 a attrape une contrainte ratee : serveur_ops est insemine par le SITE, qui ne detient pas la voute du locataire. Le role ne nomme donc aucune voute — il declare un parametre, et la couche qui detient le secret le remplit. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
17 lines
597 B
YAML
17 lines
597 B
YAML
---
|
|
- name: Redemarrer la console Set-OPS
|
|
ansible.builtin.systemd:
|
|
name: setops-gui.service
|
|
state: restarted
|
|
daemon_reload: true
|
|
when: not ansible_check_mode
|
|
|
|
# `reload`, PAS `restart` : le vestibule est un vhost, pas une ecoute nouvelle. Le jour ou
|
|
# `serveur_ops_gui_port_public` change, c'est une autre affaire — nginx ne reapplique pas
|
|
# un `listen` sur un `reload`, et le service resterait vert sur l'ancien port.
|
|
- name: Recharger le vestibule de la console
|
|
ansible.builtin.systemd:
|
|
name: nginx
|
|
state: reloaded
|
|
failed_when: false
|
|
when: not ansible_check_mode
|