maj lb-front-ssl pour une version fonctionnelle

README.md

@@ -1,6 +1,8 @@
 # gsb2024
 
-2024-01-19 11h45 ps
+  * 2024-05-23 16h07 ps
+  * 2024-04-12  8h55 ps
+  * 2024-01-19 11h45 ps
 
 Environnement et playbooks **ansible** pour le projet **GSB 2024**
 
@@ -11,8 +13,8 @@ Prérequis :
   * VirtualBox
   * git 
   * fichier machines virtuelles **ova** :
-    * **debian-bookworm-gsb-2023c.ova**
+    * **debian-bookworm-gsb-2024b.ova**
-    * **debian-bullseye-gsb-2024a.ova**
+    * **debian-bullseye-gsb-2024b.ova**
 
 
 ## Les machines 
@@ -49,12 +51,12 @@ Il existe un playbook ansible pour chaque machine à installer, nommé comme la
 ## Installation
 
 On utilisera les images de machines virtuelle suivantes : 
-  * **debian-bookworm-gsb-2023c.ova** (2023-12-18)
+  * **debian-bookworm-gsb-2024b.ova** (2024-05-23)
-    * Debian Bookworm 12.4 - 2 cartes - 1 Go - Stockage 20 Go
+    * Debian Bookworm 12.5 - 2 cartes - 1 Go - Stockage 20 Go
 
 et pour **s-fog** : 
-  * **debian-bullseye-2024a.ova** (2024-01-06)
+  * **debian-bullseye-2024b.ova** (2024-04-11)
-    * Debian Bullseye 11.8 - 2 cartes - 1 Go - stockage 20 Go
+    * Debian Bullseye 11.9 - 2 cartes - 1 Go - stockage 20 Go
 
 Les images **.ova** doivent etre stockées dans le répertoire habituel de téléchargement de l'utilisateur courant.
 

firewalld.yml

@@ -0,0 +1,7 @@
+---
+- hosts: localhost
+  connection: local
+  become: yes
+  
+  roles:
+    - firewalld

roles/awx-user-cli/tasks/main.yml

@@ -5,7 +5,11 @@
     name: awx
     groups: sudo
     append: yes
-    shell: /bin/bash
+
+- name: Cration d'un mdp pour user awx 
+  user: 
+    name: awx
+    password: '$5$1POIEvs/Q.DHI4/6$RT6nl42XkekxTPKA/dktbnCMxL8Rfk8GAK7NxqL9D70'
 
 - name: Get awx key_pub
   get_url:

roles/awx-user/tasks/main.yml

@@ -7,6 +7,12 @@
     shell: /bin/bash
     generate_ssh_key: yes
 
+      #- name: Creation mdp user awx 
+      #  ansible.builtin.user:
+      #name: 
+      #user: awx
+#      password: '$5$1POIEvs/Q.DHI4/6$RT6nl42XkekxTPKA/dktbnCMxL8Rfk8GAK7NxqL9D70'
+
 - name: Copie cle publique dans gsbstore
   copy:
     src: /home/awx/.ssh/id_rsa.pub

roles/firewalld/README.md

@@ -0,0 +1,26 @@
+# Rôle awx
+***
+Rôle awx: Configuration d'un serveur AWX avec k3s.
+
+## Tables des matières
+    1. [Que fait le rôle AWX ?]
+    2. [Connexion à l'interface WEB du serveur AWX]
+
+**AWX** est l'application développée par **RedHat** permettant de lancer des playbooks **ansible** depuis une interface web évoluée plutôt qu'en ligne de commande. **AWX** utlise kubernetes mise en oeuvre ici avec **k3s**.
+
+## Que fait le rôle AWX ?
+Le rôle **awx** installe et configure un serveur **AWX** avec **k3s** pour cela le role:
+- Installe **k3s** en spécifiant l'adresse IP ainsi que l'interface d'écoute
+- Clone le dépot **Github** **awx-on-k3s**
+- Procéde au déploiement du pod **awx-operator**
+- Génére un certifiacat auto-signé utlisée par le serveur **AWX** en utilisant **OpenSSL**
+- Edite le fichier awx.yaml afin d'y indique le nom d'hote du serveur en accord avec le nom utlisé par les certificats
+- Déploie le serveur **AWX**
+- Test l'accésibilité du serveur **AWX**. 
+
+### Connexions à l'interface WEB du serveur AWX ###
+Une fois le role **awx** terminé il est possible de se connecter à l'interface web duserveur depuis un navigateur.
+S'assurer que votre machine puisse résoudre **s-awx.gsb.lan**
+- Se connecter sur : **https://s-awx.gsb.lan**
+- Utlisateur: **admin** / Mot de passe: **Ansible123!**
+

roles/firewalld/tasks/main.yml

@@ -0,0 +1,91 @@
+---  
+- name: Installation de firewalld
+  apt:
+    state: present
+    name:
+    - firewalld
+
+- name: affectation de l'interface enp0s3 a la zone external
+  ansible.posix.firewalld:
+    zone: external
+    interface: enp0s3
+    permanent: true
+    state: enabled
+
+- name: affectation de l'interface enp0s8 a la zone external
+  ansible.posix.firewalld:
+    zone: internal
+    interface: enp0s8
+    permanent: true
+    state: enabled
+
+- name: FirewallD rules pour la zone internal
+  firewalld:
+    zone: internal
+    permanent: yes
+    immediate: yes
+    service: "{{ item }}"
+    state: enabled
+  with_items:
+   - http
+   - https
+   - dns
+   - ssh 
+   - rdp
+
+- name: FirewallD rules pour la zone internal
+  firewalld:
+    zone: external
+    permanent: yes
+    immediate: yes
+    service: "{{ item }}"
+    state: enabled
+  with_items:
+   - ssh 
+   - rdp
+         #- ansible.posix.firewalld:
+         #   zone: internal
+         #   service: http
+         #  permanent: true
+         #  state: enabled
+
+         #- ansible.posix.firewalld:
+         #    zone: internal
+         # service: dns
+         # permanent: true
+         #state: enabled
+
+#- ansible.posix.firewalld:
+#    zone: internal
+#    service: ssh 
+#    permanent: true
+#    state: enabled
+
+      #- ansible.posix.firewalld:
+      # zone: internal
+      # service: rdp 
+      #permanent: true
+      #state: enabled
+
+
+- ansible.posix.firewalld:
+    zone: internal
+    port: 8080/tcp 
+    permanent: true
+    state: enabled
+
+- ansible.posix.firewalld:
+    zone: external
+    port: 3389/tcp 
+    permanent: true
+    state: enabled
+
+- ansible.posix.firewalld:
+    port_forward:        
+      - port: 3389
+        proto: tcp      
+        toaddr: "192.168.99.6"
+        toport: 3389                                                                        
+    state: enabled
+    immediate: yes
+

roles/lb-front-ssl/tasks/main.yml

@@ -3,12 +3,53 @@
     name: haproxy
     state: present
 
+- name: Creer le repertoire du certificat
+  file:
+    path: /etc/haproxy/crt
+    state: directory
+    mode: '0755'
+
+- name: Creer le repertoire de la cle privee
+  file:
+    path: /etc/haproxy/crt/private
+    state: directory
+    mode: '0755'
+
+- name: Generer une clee privee avec les valeurs par defaut (4096 bits, RSA)
+  openssl_privatekey:
+    path: /etc/haproxy/crt/private/haproxy.pem.key
+    size: 4096
+    type: RSA
+    state: present
+
 - name: creer un certificat auto-signé
   openssl_certificate:
-    path: /etc/haproxy/crt/haproxy.crt
+    path: /etc/haproxy/crt/private/haproxy.pem
-    privatekey_path: /etc/haproxy/crt/private/haproxy.pem
+    privatekey_path: /etc/haproxy/crt/private/haproxy.pem.key
-    csr_path: /etc/haproxy/crt/csr/haproxy.csr
     provider: selfsigned
+    state: present
+
+- name: s'assurer que le certificat a les bonnes permissions
+  file:
+    path: /etc/haproxy/crt/private/haproxy.pem
+    owner: root
+    group: haproxy
+    mode: '0640'
+
+- name: parametre global
+  blockinfile:
+    path: /etc/haproxy/haproxy.cfg
+    block: |
+      global
+        log /dev/log    local0
+        log /dev/log    local1 notice
+        chroot /var/lib/haproxy
+        stats socket /run/haproxy/admin.sock mode 660 level admin
+        stats timeout 30s
+        user haproxy
+        group haproxy
+        daemon
+        ssl-server-verify none
 
 - name: parametre backend et fontend
   blockinfile:
@@ -16,7 +57,7 @@
     block: |
       frontend proxypublic
         bind 192.168.100.10:80
-        bind 192.168.100.10:443 ssl crt /etc/haproxy/crt/pritvate/haproxy.pem
+        bind 192.168.100.10:443 ssl crt /etc/haproxy/crt/private/haproxy.pem
         http-request redirect scheme https unless { ssl_fc }
         default_backend fermeweb
       

s-adm.yml

@@ -7,11 +7,12 @@
   roles:
     - base
     - s-ssh
+    #- zabbix-cli
     - dnsmasq
     - squid
     - ssh-backup-key-gen
+    # awx-user
 #    - local-store
-    - zabbix-cli
     ## - syslog-cli
     - post
 #    - goss

s-awx.yml

@@ -6,6 +6,7 @@
     - base
     - goss
     - ssh-cli
+    - awx-user-cli
       #- awx
       # - zabbix-cli
     - journald-snd

s-infra.yml

@@ -6,12 +6,13 @@
   
   roles:
     - base
-    - zabbix-cli
+    #- zabbix-cli
     - goss
     - dns-master
     - webautoconf
       #    - elk-filebeat-cli
-      #    - journald-snd
+    - journald-snd
     - ssh-cli
+    #- awx-user-cli
     - post
 

s-lb.yml

@@ -5,7 +5,8 @@
    roles:
      - base
      - goss
-     - lb-front
+       #- lb-front
+     - lb-front-ssl
        #- zabbix-cli
      - ssh-cli
      - post

scripts/mkvm

@@ -2,8 +2,8 @@
 
 mkvmrelease="v1.3.3"
 
-ovarelease="2023c"
+ovarelease="2024b"
-ovafogrelease="2024a"
+ovafogrelease="2024b"
 #ovafile="$HOME/Téléchargements/debian-bullseye-gsb-${ovarelease}.ova"
 ovafile="$HOME/Téléchargements/debian-bookworm-gsb-${ovarelease}.ova"
 ovafilefog="$HOME/Téléchargements/debian-bullseye-gsb-${ovafogrelease}.ova"

scripts/mkvm.ps1

@@ -4,8 +4,8 @@
 #mkvm pour toutes les vms
 
 $mkvmrelease="v1.3.1"
-$ovarelease="2023c"
+$ovarelease="2024b"
-$ovafogrelease="2024a"
+$ovafogrelease="2024b"
 $ovafile="$HOME\Downloads\debian-bookworm-gsb-${ovarelease}.ova"
 $ovafilefog="$HOME\Downloads\debian-bullseye-gsb-${ovafogrelease}.ova"
 $vboxmanage="C:\Program Files\Oracle\VirtualBox\VBoxManage.exe"
@@ -18,18 +18,20 @@ $vmMem = @{
   "s-infra" = "768"
   "s-backup" = "768"
   "s-elk" = "3072"
+  "s-awx" = "4096"
+  "s-peertube" = "4096"
 }
 
 $vmCpus = @{
-  "s-awx" = "4096"
+  "s-awx" = "2"
-  "s-peertube" = "4096"
+  "s-peertube" = "2"
 }
 #FONCTIONS
 
 function create_vm{ param([string]$nomvm)
 
-	if ($vmMem.ContainsKey($nomvm)) {
+	if (($vmMem.ContainsKey($nomvm)) -and ($vmCpus.ContainsKey($nomvm))) {
-	    & "$vboxmanage" import "$ovafile"  --vsys 0 --vmname "$nomvm" --memory $vmMem[$nomvm] --cpus $vmCpus[$nomvm}
+	    & "$vboxmanage" import "$ovafile"  --vsys 0 --vmname "$nomvm" --memory $vmMem[$nomvm] --cpus $vmCpus[$nomvm]
             Write-Host "Machine $nomvm importée"
         } else {
          #Importation depuis l'ova