start

group_vars/all/main.yml

@@ -0,0 +1,74 @@
+---
+# Variables communes à tous les serveurs.
+
+# En-tête des fichiers déposés (templates et contenus inline).
+ansible_managed: "Géré par Ansible (ansible-hardening-linux) — ne pas modifier à la main"
+# Les valeurs par défaut de chaque rôle sont dans roles/<rôle>/defaults/main.yml ;
+# ce fichier ne redéfinit que ce qui dépend de l'infrastructure.
+
+# ---------------------------------------------------------------- réseau ----
+# Réseaux d'administration : seuls ces réseaux peuvent joindre SSH.
+# Liste vide = SSH ouvert à tous (déconseillé, mais évite tout verrouillage
+# tant que les réseaux ne sont pas connus).
+firewall_ssh_sources:
+  - 10.0.0.0/8
+
+# Serveurs de supervision : autorisés sur SNMP (161/udp) et NRPE (5666/tcp).
+supervision_sources:
+  - 10.78.56.16
+  - 10.78.56.45
+  - 10.78.56.100
+
+# ------------------------------------------------------------------- DNS ----
+dns_nameservers:
+  - 10.78.56.8
+  - 10.78.56.9
+dns_search_domains:
+  - fr.dgs.group
+
+# ----------------------------------------------------------------- proxy ----
+# Laisser vide pour ne configurer aucun proxy.
+proxy_url: ""
+# proxy_url: "http://serv-proxy.fr.dgs.group:3128"
+proxy_no_proxy:
+  - localhost
+  - 127.0.0.1
+  - .fr.dgs.group
+
+# ------------------------------------------------------------------- SSH ----
+# Les clés publiques sont lues dans files/keys/<utilisateur>/*.pub.
+# Chaque utilisateur listé ici est créé s'il n'existe pas (sauf root).
+ssh_users:
+  - name: root
+  - name: ansible
+    groups: [sudo_or_wheel]      # remplacé par « sudo » ou « wheel » selon l'OS
+    sudo_nopasswd: true
+  - name: hcornet
+    groups: [sudo_or_wheel]
+
+ssh_banner_organisation: "Tapis-Saint-Maclou"
+# Logo ASCII repris de 01-ssh/banner, dans un fichier pour éviter tout souci d'indentation YAML.
+ssh_banner_logo: "{{ lookup('ansible.builtin.file', playbook_dir ~ '/files/banner-logo.txt') }}"
+
+# --------------------------------------------------------------- services ----
+snmp_communities:
+  - name: "{{ vault_snmp_community_supervision }}"
+    sources: "{{ supervision_sources }}"
+
+nrpe_allowed_hosts: "{{ supervision_sources }}"
+
+glpi_agent_server: "https://glpi.fr.dgs.group/marketplace/glpiinventory/"
+glpi_agent_tag: "ServeurProd"
+
+# ------------------------------------------------------------- activation ----
+# Chaque rôle peut être désactivé globalement, par groupe ou par hôte.
+enable_proxy: "{{ proxy_url | length > 0 }}"
+enable_dns: true
+enable_updates: true
+enable_ssh: true
+enable_firewall: true
+enable_fail2ban: true
+enable_os_hardening: true
+enable_snmp: true
+enable_nrpe: true
+enable_glpi_agent: true

group_vars/all/vault.yml.example

@@ -0,0 +1,8 @@
+---
+# Une fois chiffré, ce fichier a vocation à être versionné — c'est tout l'intérêt d'ansible-vault.
+#
+#   cp group_vars/all/vault.yml.example group_vars/all/vault.yml
+#   ansible-vault encrypt group_vars/all/vault.yml
+#
+# Référencé par les variables « vault_* » de main.yml.
+vault_snmp_community_supervision: "changer-moi"