Daniel Allaire
92762d3c38
serveurs_nginx derive ses vhosts de docs/domaines.yml (bloc exposition) : pour chaque exposition web ciblant cet edge, un server block est genere (expositions.conf.j2). Amont = entree 'amont' explicite, sinon http://<IP interne de la cible>:<port> resolu depuis l'inventaire. Une exposition non resolvable (cible sans hote actif, ou sans port) est listee mais non publiee. - defaults : serveurs_nginx_groupe (edge cible), serveurs_nginx_publier_expositions. - Les sites declares a la main coexistent. - Ajout du port 3000 a l'exposition forge. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
40 lines
1.6 KiB
YAML
40 lines
1.6 KiB
YAML
---
|
|
serveurs_nginx_packages:
|
|
- nginx
|
|
- ssl-cert # fournit le certificat auto-signe (snakeoil)
|
|
|
|
serveurs_nginx_service_name: "nginx"
|
|
|
|
# TLS : par defaut le certificat auto-signe Debian (snakeoil).
|
|
# A remplacer par des certificats de l'AC interne / ACME (step_ca) plus tard.
|
|
serveurs_nginx_certificat: "/etc/ssl/certs/ssl-cert-snakeoil.pem"
|
|
serveurs_nginx_cle: "/etc/ssl/private/ssl-cert-snakeoil.key"
|
|
|
|
# Durcissement de base.
|
|
serveurs_nginx_server_tokens: "off"
|
|
serveurs_nginx_ssl_protocols: "TLSv1.2 TLSv1.3"
|
|
serveurs_nginx_taille_max_corps: "16m"
|
|
|
|
# Comportement des sites.
|
|
serveurs_nginx_redirection_http: true # 80 -> 443
|
|
serveurs_nginx_desactiver_defaut: false # retirer le site Debian par defaut
|
|
|
|
# Sites de reverse proxy declares a la main. Vide par defaut.
|
|
# S'AJOUTENT aux vhosts derives automatiquement de docs/domaines.yml.
|
|
serveurs_nginx_sites: []
|
|
# - nom: forge
|
|
# domaine: forge.chezlepro.internal
|
|
# amont: "http://10.1.15.11:3000"
|
|
# certificat: "/etc/ssl/.../forge.pem" # optionnel, sinon snakeoil
|
|
# cle: "/etc/ssl/.../forge.key"
|
|
|
|
# Groupe edge auquel ce role s'identifie (pour filtrer le champ "edge" de
|
|
# docs/domaines.yml). Permet plusieurs edges distincts a terme.
|
|
serveurs_nginx_groupe: "serveurs_nginx"
|
|
|
|
# Deriver automatiquement des vhosts depuis docs/domaines.yml (bloc "exposition").
|
|
# Pour chaque exposition de type "web" dont l'edge vise ce groupe, un vhost est
|
|
# genere : amont = entree "amont" explicite, sinon http://<IP interne de la
|
|
# cible>:<port>. Une exposition non resolvable (cible sans hote actif, ou sans
|
|
# port) est ignoree (binding declare mais pas encore cablable).
|
|
serveurs_nginx_publier_expositions: true
|