start

site.yml

@@ -0,0 +1,68 @@
+---
+# Point d'entrée : configure et durcit l'ensemble des serveurs Linux.
+#
+#   ansible-playbook site.yml                 # tout
+#   ansible-playbook site.yml --tags ssh      # un seul rôle
+#   ansible-playbook site.yml --check --diff  # simulation
+#
+# Ordre volontaire : le proxy et le DNS d'abord (sinon aucun paquet ne peut
+# être téléchargé), le SSH avant le pare-feu (la règle SSH doit exister
+# avant que la politique par défaut passe à « drop »).
+- name: Configuration et durcissement des serveurs Linux
+  hosts: all
+  become: true
+  gather_facts: true
+
+  roles:
+    - role: common
+      tags: [common, always]
+
+    - role: proxy
+      when: enable_proxy | bool
+      tags: [proxy]
+
+    - role: dns
+      when: enable_dns | bool
+      tags: [dns]
+
+    - role: updates
+      when: enable_updates | bool
+      tags: [updates]
+
+    - role: ssh
+      when: enable_ssh | bool
+      tags: [ssh]
+
+    - role: firewall
+      when: enable_firewall | bool
+      tags: [firewall]
+
+    - role: fail2ban
+      when: enable_fail2ban | bool
+      tags: [fail2ban]
+
+    - role: os_hardening
+      when: enable_os_hardening | bool
+      tags: [os_hardening, hardening]
+
+    - role: snmp
+      when: enable_snmp | bool
+      tags: [snmp, supervision]
+
+    - role: nrpe
+      when: enable_nrpe | bool
+      tags: [nrpe, supervision]
+
+    - role: glpi_agent
+      when: enable_glpi_agent | bool
+      tags: [glpi, glpi_agent]
+
+  post_tasks:
+    - name: Résumé de fin de passage
+      ansible.builtin.debug:
+        msg:
+          - "Hôte        : {{ inventory_hostname }} ({{ ansible_facts['distribution'] }} {{ ansible_facts['distribution_version'] }})"
+          - "SSH         : port {{ ssh_port }}, root={{ ssh_permit_root_login }}"
+          - "Pare-feu    : {{ firewall_backend_effective | default('non géré') }}"
+          - "Redémarrage : {{ 'REQUIS' if (updates_reboot_required | default(false)) else 'non requis' }}"
+      tags: [always]