---
# GABARIT de voute de patient 0 — des NOMS, jamais de valeurs.
#
# La voute reelle (group_vars/all/vault.yml, chiffree) se cree a la main :
#     ansible-vault create inventories/production/group_vars/all/vault.yml
# Son mot de passe ne vit NI ici, NI dans aucun depot : c'est le seul objet que la
# reproduction exige d'un humain. Le mettre dans la forge reviendrait a enfermer la
# cle dans le coffre.
#
# P18 confronte ce gabarit aux secrets que le plan exige, puis la voute reelle a ce
# gabarit. Une cle qui manque ici passe inapercue jusqu'au deploiement.

# --- Exiges par des roles que patient 0 DEPLOIE ---
vault_backup_ssh_privkey: ""                     # role client_backup
vault_bd_forgejo: ""                     # base 'forgejo'
vault_forgejo_admin: ""                     # role serveur_forgejo
vault_forgejo_internal_token: ""                     # role serveur_forgejo
vault_forgejo_oidc: ""                     # role serveur_forgejo
vault_forgejo_secret_key: ""                     # role serveur_forgejo
vault_openldap_admin: ""                     # role amorcage_acces (playbook serveur_openldap.yml)
vault_postgresql_keycloak: ""                     # role serveur_postgresql
vault_redis: ""                     # role serveur_redis
vault_restic_password: ""                     # role client_backup
vault_step_ca_password: ""                     # role serveur_step_ca
vault_step_ca_provisioner_password: ""                     # role client_pki

# --- Exiges par le harnais, pour des services que patient 0 NE DEPLOIE PAS ---
# Ces references vivent dans des roles que patient 0 installe (ex. serveur_backup
# pousse ses resultats vers Icinga, serveur_postgresql connait les bases des
# autres). Le perimetre est donc plus large que la flotte : meme question de
# cadrage que celle corrigee sur P32 le 2026-08-20. Les laisser vides tant que le
# service correspondant n'existe pas.
vault_grafana_admin: ""                     # role serveur_grafana (playbook serveur_grafana.yml)
vault_grafana_oidc: ""                     # role serveur_grafana (playbook serveur_grafana.yml)
vault_icinga_api_depot: ""                     # role serveur_backup (playbook serveur_backup.yml)
vault_keycloak_admin: ""                     # role serveur_keycloak (playbook serveur_keycloak.yml)
vault_nextcloud_admin: ""                     # role serveur_nextcloud (playbook serveur_nextcloud.yml)
vault_nextcloud_oidc: ""                     # role serveur_nextcloud (playbook serveur_nextcloud.yml)
vault_oauth2_cookie: ""                     # role serveur_oauth2_proxy (playbook serveur_oauth2_proxy.yml)
vault_sysadmin_amorcage: ""                     # role amorcage_acces (playbook serveur_openldap.yml)

# --- Acces au CLUSTER, exiges hors motif `vault_` ---
# Ces deux-la ne commencent pas par `vault_` et echappent donc au reperage automatique :
# c'est P18 qui les exige nommement. Ils ouvrent l'API Proxmox pour cloner les VM.
#
# A CREER DANS PROXMOX, propre a patient 0 : Datacenter > Permissions > API Tokens.
# Un jeton PAR TENANT, revocable seul — recopier celui d'un autre tenant reviendrait a
# leur donner la meme clef, et a ne plus pouvoir en retirer un sans retirer l'autre.
# Les poser ensuite : ansible-vault edit inventories/production/group_vars/all/vault.yml
proxmox_api_token_id: ""
proxmox_api_token_secret: ""