79 lines
2.9 KiB
YAML
79 lines
2.9 KiB
YAML
---
|
|
# Variables communes à tous les serveurs.
|
|
|
|
# En-tête des fichiers déposés (templates et contenus inline).
|
|
ansible_managed: "Géré par Ansible (ansible-hardening-linux) — ne pas modifier à la main"
|
|
# Les valeurs par défaut de chaque rôle sont dans roles/<rôle>/defaults/main.yml ;
|
|
# ce fichier ne redéfinit que ce qui dépend de l'infrastructure.
|
|
|
|
# ---------------------------------------------------------------- réseau ----
|
|
# Réseaux d'administration : seuls ces réseaux peuvent joindre SSH.
|
|
# Liste vide = SSH ouvert à tous (déconseillé, mais évite tout verrouillage
|
|
# tant que les réseaux ne sont pas connus).
|
|
firewall_ssh_sources:
|
|
- 10.0.4.0/24
|
|
- 10.0.5.0/24
|
|
|
|
# Serveurs de supervision : autorisés sur SNMP (161/udp) et NRPE (5666/tcp).
|
|
# Le serveur central Centreon du lab (voir dépôt ansible-centreon).
|
|
supervision_sources:
|
|
- 10.0.5.20
|
|
|
|
# ------------------------------------------------------------------- DNS ----
|
|
dns_nameservers:
|
|
- 10.0.4.2
|
|
dns_search_domains:
|
|
- tips-of-mine.local
|
|
|
|
# ----------------------------------------------------------------- proxy ----
|
|
# Laisser vide pour ne configurer aucun proxy.
|
|
proxy_url: ""
|
|
# proxy_url: "http://proxy.tips-of-mine.local:3128"
|
|
proxy_no_proxy:
|
|
- localhost
|
|
- 127.0.0.1
|
|
- .tips-of-mine.local
|
|
|
|
# ------------------------------------------------------------------- SSH ----
|
|
# « keys » : fichiers de files/keys/ donnant accès au compte. Chaque compte listé
|
|
# est créé s'il n'existe pas (sauf root). ansible.pub est la clé de Semaphore.
|
|
ssh_users:
|
|
- name: root
|
|
keys: [hcornet.pub, ansible.pub]
|
|
- name: ansible
|
|
keys: [ansible.pub]
|
|
groups: [sudo_or_wheel] # remplacé par « sudo » ou « wheel » selon l'OS
|
|
sudo_nopasswd: true
|
|
- name: hcornet
|
|
keys: [hcornet.pub]
|
|
groups: [sudo_or_wheel]
|
|
|
|
ssh_banner_organisation: "Tips-Of-Mine"
|
|
# Logo ASCII (files/banner-logo.txt) : un fichier plutôt qu'un bloc YAML, l'indentation
|
|
# irrégulière d'un dessin ne passe pas yamllint. Chaîne vide = pas de logo.
|
|
ssh_banner_logo: "{{ lookup('ansible.builtin.file', playbook_dir ~ '/files/banner-logo.txt') }}"
|
|
|
|
# --------------------------------------------------------------- services ----
|
|
snmp_communities:
|
|
- name: "{{ vault_snmp_community_supervision }}"
|
|
sources: "{{ supervision_sources }}"
|
|
|
|
nrpe_allowed_hosts: "{{ supervision_sources }}"
|
|
|
|
# URL du plugin d'inventaire GLPI ; à renseigner avant de passer enable_glpi_agent à true.
|
|
glpi_agent_server: "https://glpi.tips-of-mine.local/marketplace/glpiinventory/"
|
|
glpi_agent_tag: "lab"
|
|
|
|
# ------------------------------------------------------------- activation ----
|
|
# Chaque rôle peut être désactivé globalement, par groupe ou par hôte.
|
|
enable_proxy: "{{ proxy_url | length > 0 }}"
|
|
enable_dns: true
|
|
enable_updates: true
|
|
enable_ssh: true
|
|
enable_firewall: true
|
|
enable_fail2ban: true
|
|
enable_os_hardening: true
|
|
enable_snmp: true
|
|
enable_nrpe: true
|
|
enable_glpi_agent: false
|