# ansible-hardening-linux

Configuration et durcissement de serveurs Linux — Debian 12/13, Ubuntu 22.04/24.04,
RHEL / Rocky / AlmaLinux 8 et 9 — par Ansible. Reprise du dépôt de scripts
`prerequis-install-deb` (Debian uniquement, copie de fichiers à la main) sous
forme de rôles idempotents, multi-distributions, avec CI/CD Gitea.

Objectif : à la fin d'un passage, tout serveur est configuré, à jour, supervisé,
et **n'est joignable à distance qu'en SSH par clé publique** ; l'accès local
(console, `su -`) continue de fonctionner comme avant.

## Correspondance avec les scripts d'origine

| Script d'origine | Rôle | Ce qui change |
|---|---|---|
| `01-ssh` (sshd_config, ssh_config, banner, authorized_keys, 00-basic) | `ssh` | Drop-in `sshd_config.d/00-durcissement.conf` au lieu d'écraser tout le fichier ; clé publique obligatoire (`AuthenticationMethods publickey`) ; `AllowUsers` calculé depuis la liste des comptes ; clés centralisées dans `/etc/ssh/authorized_keys/<user>` (le lien symbolique de l'ancien script est remplacé par des fichiers appartenant à root) ; bannière dans `/etc/issue.net` et `/etc/issue` ; MOTD `00-basic` conservé, rendu portable, et équivalent `profile.d` sous Red Hat ; vérification d'une **nouvelle** connexion SSH avant de rendre la main |
| `02-apt` (proxy + full-upgrade) | `proxy`, `updates` | Proxy APT **et** DNF, plus `profile.d` ; mises à jour de sécurité automatiques (`unattended-upgrades` / `dnf-automatic`) ; signalement du besoin de redémarrage |
| `04-agent-glpi` | `glpi_agent` (+ `common` pour le certificat) | Installateur perl officiel, version pilotée par variable, configuration dans `conf.d/10-ansible.cfg` ; le certificat racine va dans le magasin système (`update-ca-certificates` / `update-ca-trust`) et sert à tout le monde, pas seulement à l'agent |
| `06-snmp` | `snmp` | Communautés v2c par source de supervision, lues depuis le vault ; SNMPv3 disponible ; vue en lecture seule |
| `07-DNS` | `dns` | Respecte le gestionnaire réel : `systemd-resolved` (drop-in), NetworkManager (`dns=none` puis `resolv.conf`), ou `resolv.conf` direct |
| `08-NRPE` | `nrpe` | Installation **et** configuration : `allowed_hosts`, `dont_blame_nrpe=0`, commandes de base |
| `03-cortex`, `05-manageengine` | — | Ignorés à la demande |
| *(absent)* | `firewall` | nftables (Debian/Ubuntu) ou firewalld (Red Hat), politique `drop` : SSH depuis les réseaux d'administration, ICMP, SNMP/NRPE depuis la supervision |
| *(absent)* | `fail2ban` | Bannissement des sources en échec sur SSH, backend `systemd` |
| *(absent)* | `os_hardening` | sysctl, core dumps, `login.defs`, auditd, services et paquets inutiles |
| *(absent)* | `common` | Contrôle de la distribution, paquets de base, fuseau, certificats racine |

## Ce qui garantit que l'accès local reste possible

- Aucun mot de passe n'est verrouillé, aucun compte n'est désactivé, PAM n'est pas modifié.
- `PermitRootLogin prohibit-password` : root n'est joignable à distance que par clé,
  mais son mot de passe reste valable sur la console (Proxmox, KVM, iLO…) et pour `su -`.
- Le pare-feu ne filtre que le réseau ; la console n'est pas concernée.
- fail2ban ne bannit que des adresses IP distantes ; les réseaux d'administration sont
  dans `ignoreip`.
- Deux garde-fous contre l'auto-verrouillage : le rôle `ssh` refuse une configuration
  où le compte utilisé par Ansible n'aurait pas de clé ou ne serait pas dans `AllowUsers`,
  et le rôle `firewall` refuse une liste `firewall_ssh_sources` qui exclurait l'adresse
  depuis laquelle Ansible est connecté. Après chaque redémarrage de sshd et après
  chaque application du pare-feu, une **nouvelle** session SSH est ouverte depuis le
  contrôleur ; si elle échoue, le playbook s'arrête sans fermer la session courante.

## Arborescence

Même organisation qu'`ansible-centreon` : playbook et `group_vars` à la racine,
inventaire et vault versionnés, collections déclarées dans `collections/`.

```
.
├── ansible.cfg
├── site.yml                      # point d'entrée
├── collections/requirements.yml  # ansible.posix, community.general (installées par Semaphore)
├── inventory/hosts.yml           # inventaire versionné
├── group_vars/all/
│   ├── main.yml                  # réseaux, DNS, proxy, comptes, supervision, activation des rôles
│   └── vault.yml.example         # à copier vers vault.yml, chiffrer, puis versionner
├── files/
│   ├── keys/*.pub                # clés publiques SSH, attribuées par ssh_users[].keys
│   └── ca/*.crt                  # certificats racine internes (versionnés)
├── roles/                        # common, proxy, dns, updates, ssh, firewall, fail2ban,
│                                 # os_hardening, snmp, nrpe, glpi_agent
├── .gitea/workflows/ansible-lint.yml
└── CICD.md                       # chaîne Gitea (contrôle) -> Semaphore (exécution)
```

## Mise en route

1. **Inventaire** : renseigner `inventory/hosts.yml`. Deux modes de connexion :
   - compte de service `ansible` + sudo (`become` est activé dans `ansible.cfg`) ;
   - root par clé, comme sur les VM Terraform : `ansible_user: root`, `become` est alors sans effet.
2. **Clés publiques** : fichiers `*.pub` à plat dans `files/keys/`, attribués aux comptes
   par `ssh_users[].keys` dans `group_vars/all/main.yml`. Le compte utilisé par Ansible
   (root) **doit** y avoir la clé de Semaphore.
3. **Certificat racine** (facultatif) : `files/ca/root-ca.crt` au format PEM.
4. **Secrets** : `cp group_vars/all/vault.yml.example group_vars/all/vault.yml`,
   renseigner, puis `ansible-vault encrypt group_vars/all/vault.yml`.
5. **Variables** : relire `group_vars/all/main.yml` — en particulier
   `firewall_ssh_sources` (réseaux d'administration), `supervision_sources`,
   `dns_nameservers`, `proxy_url`, `ssh_users`, `glpi_agent_server`.
6. **Simulation** : `ansible-playbook site.yml --check --diff --ask-vault-pass`
7. **Application** : `ansible-playbook site.yml --ask-vault-pass`

Un seul rôle : `--tags ssh`, `--tags firewall`, etc. Un rôle peut aussi être
désactivé par variable (`enable_<rôle>: false`) au niveau global, d'un groupe ou d'un hôte.

## Ordre d'exécution et raison

`common` → `proxy` → `dns` → `updates` → `ssh` → `firewall` → `fail2ban` →
`os_hardening` → `snmp` → `nrpe` → `glpi_agent`.

Le proxy et le DNS viennent d'abord (sans eux, aucun paquet ne se télécharge) ; le SSH
est durci avant le pare-feu (la règle SSH doit exister avant que la politique passe à
`drop`) ; la supervision et l'agent GLPI viennent en dernier, une fois le système stable.

## Points d'attention par distribution

- **Ubuntu 22.10+** : sshd est activé par socket (`ssh.socket`). Le rôle bascule sur
  `ssh.service` pour que `Port` soit pris en compte depuis `sshd_config`.
- **Red Hat / Rocky / Alma** : les algorithmes SSH ne sont pas définis dans `sshd_config`
  (ils viennent de `crypto-policies`) ; fail2ban, NRPE et les greffons Nagios viennent
  d'EPEL, installé par `common`. SELinux : le port SSH est déclaré si différent de 22.
- **Red Hat 8 (OpenSSH 8.0)** : pas de directive `Include` ; le durcissement est inséré
  en tête de `sshd_config` entre des marqueurs, et les directives contradictoires du
  fichier d'origine sont commentées.
- **VM issues de `terraform-proxmox-serveur-debian-12`** : le jeu nftables et le drop-in
  sshd sont compatibles avec ceux posés par cloud-init (même structure, même
  répertoire `/etc/nftables.d/`). Le drop-in Ansible `00-durcissement.conf` passe avant
  `99-durcissement.conf` de cloud-init : c'est Ansible qui a le dernier mot.

## CI/CD

Voir `CICD.md` : Gitea contrôle le code, Semaphore l'exécute depuis la branche `valide`.

## Vérifications après un premier passage

```bash
# Depuis le contrôleur : nouvelle session, clé uniquement
ssh -o BatchMode=yes -o ControlPath=none ansible@<hôte> 'sudo sshd -T | grep -Ei "^(permitrootlogin|passwordauthentication|authenticationmethods|allowusers)"'

# Pare-feu : seuls SSH, ICMP et les ports de supervision sont ouverts
ssh ansible@<hôte> 'sudo nft list chain inet filter input'        # Debian/Ubuntu
ssh ansible@<hôte> 'sudo firewall-cmd --list-all'                  # Red Hat

# fail2ban actif sur sshd
ssh ansible@<hôte> 'sudo fail2ban-client status sshd'
```