From 514cb8957982ba043ca32eeba5c3e2f6e67a12b9 Mon Sep 17 00:00:00 2001 From: ALI YESILKAYA Date: Tue, 7 Jul 2026 12:11:00 +0200 Subject: [PATCH] feat(grafana): SSO OIDC via Authentik + admin par groupe lab-admins (#86) MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit - values.yaml monitoring : auth.generic_oauth (auth_url navigateur, token/api sur le Service interne), root_url, mapping lab-admins→Admin / sinon Viewer. Login local conservé (break-glass). - vault : vault_grafana_oauth_client_secret (= secret k8s monitoring/grafana-oauth-secret, déjà créé) - doc : runbook « ajouter une app » complété (exemple Grafana concret + groupe lab-admins) et procédure SQL pour promouvoir un compte SSO admin Guacamole (appliquée à Alkatrazz) Co-authored-by: Claude Fable 5 --- admin/k8s/auth-portal-admin.md | 43 +++++ ansible/group_vars/all/vault.yml | 275 ++++++++++++++++--------------- k8s/infra/monitoring/values.yaml | 21 +++ 3 files changed, 208 insertions(+), 131 deletions(-) diff --git a/admin/k8s/auth-portal-admin.md b/admin/k8s/auth-portal-admin.md index 53998f5..c4d18e6 100644 --- a/admin/k8s/auth-portal-admin.md +++ b/admin/k8s/auth-portal-admin.md @@ -14,6 +14,18 @@ sont dans **`admin/k8s/auth-portal.md`** ; le guide à envoyer aux utilisateurs > `guacadmin` (compte local) est **inaccessible** tant que le SSO est prioritaire — > c'est voulu. Dépannage : piège n°3 de `auth-portal.md`. +> **Rendre un compte SSO admin Guacamole** (fait pour `Alkatrazz`) : les droits système +> ne s'assignent pas via un compte non-admin, donc au bootstrap on passe par la base +> (`guacamole_entity` : `type='USER'`, `name` = username Authentik casse comprise) : +> ```sql +> -- sur storage-01, id de l'entité = son entity_id dans guacamole_entity +> INSERT INTO guacamole_system_permission (entity_id, permission) +> SELECT , perm::guacamole_system_permission_type +> FROM (VALUES ('ADMINISTER'),('CREATE_CONNECTION'),('CREATE_CONNECTION_GROUP'), +> ('CREATE_SHARING_PROFILE'),('CREATE_USER'),('CREATE_USER_GROUP')) AS v(perm); +> ``` +> Ensuite ce compte gère tout depuis l'UI (y compris promouvoir d'autres admins). + ## Cycle de vie d'un utilisateur ### Créer (≈2 min) @@ -75,6 +87,37 @@ Pour chaque nouvelle app (Grafana, n8n…) : La tuile apparaît automatiquement sur le hub des membres du groupe. +### Le groupe `lab-admins` (admin partout) + +Groupe transverse : ses membres reçoivent le **rôle admin dans chaque app** intégrée +(mapping fait côté app, ex. Grafana `role_attribute_path`). `Alkatrazz` en fait partie. +Créer si absent : *Directory → Groups → Create* `lab-admins`, y ajouter les admins. + +### Exemple concret : Grafana (SSO OIDC) + +Côté k8s c'est déjà fait (values.yaml monitoring : `auth.generic_oauth`, secret k8s +`monitoring/grafana-oauth-secret` = `vault_grafana_oauth_client_secret`). **Reste la +config Authentik (UI)** : + +1. *Applications → Providers → Create → OAuth2/OpenID Provider* : + - Name `grafana`, Authorization flow `default-provider-authorization-implicit-consent` + - **Client type : Confidential** (Grafana garde un secret, contrairement à Guacamole) + - **Client ID : `grafana`** · **Client Secret : coller `vault_grafana_oauth_client_secret`** + (`make vault-view`) — doit être **identique** des deux côtés + - **Redirect URI (Strict) : `http://grafana.lab.local/login/generic_oauth`** + - **Signing Key** : le certificat self-signed +2. *Applications → Create* : Name `Grafana`, **slug `grafana`**, provider `grafana`, + Launch URL `http://grafana.lab.local`, une icône si tu veux +3. *Bindings* → lier un groupe (ou laisser ouvert). Pour être admin : être dans + `lab-admins` (mappé → rôle Grafana **Admin** ; les autres → **Viewer**) +4. Tester : hub → tuile Grafana → connecté en Admin. **Break-glass** si le SSO casse : + `http://grafana.lab.local/login` en `admin` / `adminPassword` (values.yaml). + +⚠️ Grafana n'est exposé que sur le **LAN** (`grafana.lab.local`) — la tuile ne +fonctionne donc que depuis le LAN tant qu'on n'ajoute pas de redirection Internet +dédiée (comme pour le portail). Pièges : redirect_uri au caractère près, et les pods ne +résolvant pas `lab.local`, `token_url`/`api_url` pointent sur le Service interne. + ## Durcissement (quand l'usage s'installe) - **MFA/TOTP** : chaque utilisateur peut enrôler une app d'authentification diff --git a/ansible/group_vars/all/vault.yml b/ansible/group_vars/all/vault.yml index 66a4ac4..4698b09 100644 --- a/ansible/group_vars/all/vault.yml +++ b/ansible/group_vars/all/vault.yml @@ -1,132 +1,145 @@ $ANSIBLE_VAULT;1.1;AES256 -61306339643263663766346630346361326334356330616562393134366139663764623130646534 -3237353162366637656164663538393563643835623632630a653666363536393731656663636631 -32313834396237636632666565363934366230656233663430636331323637326133303036626231 -3562383638306337380a306635376533343431663833363537636139323862643838343731616236 -66663439636562656139353934323162336530373931383635356634353761623765613933366436 -62313364613736353639363339326334333131393934373932303665643938313338343238386665 -64333165306536386466333838613132303361303533386335343030393663396331623064303539 -61306235663032623066313861323837303638306532646639313637363534663231306231343761 -36636664383433613763313139383565346262323163393262383561663366386334333064656338 -35653232643430313635313964353234326465346435323530323639653361363061643966333666 -37303862653861343664333332346461626266623763633730316132306332393832626433663261 -33613664633839396662363162663030373936396534376334633364373236626233333965626236 -34326261636438643039376363666630366238396134613063633634623337663039643666336466 -33633264303566393765643564383539343933383334393130653964616265366630373863383332 -64633731353531363531346466343533373437393562636663613933646434633535316232313062 -64346231326538303733663631666634336230653861646561373362636139646663326661663637 -64356239343862366562666664373234353761343430343330366436366663386463346164636135 -63393862393562313232383836336536666361616332356131316438313861326365373163333635 -65353233333665623432343463623364643964306239616633353637316336633865623030646162 -39633965636661616431333739363036666536623439636139653962353630343435326639333630 -64356466613962343463653733653436336363383964336131623266323661396638613234346365 -35323464393137383862613564613264303135643736636438323935666633353737323062663266 -38353164303137353734356530643834386134623663383530363037346431663464646230616234 -38616235633739633939396634373539373634643235623265623533663563343932623636656431 -38363731333039363835343938326536363138653337366236646163636638623838363066323937 -37333037353937366531373763326637653839633037383237663132666262616364356335646638 -64663036353339353637626635343435303932336237383962393036653632316565666165326136 -37613566336363656264623730316465383835643361393631616638376463356435626662633334 -61653662333633313730626538333766363466626530303062616338313936656437303261316235 -38363764636632663936313730613738643930613562643664643963613930333132323364616166 -64356437613938313062343066326234666366323364393362616435616337643334343730616561 -30333332343935663833313933633631656336653166373034656461363561373434313465386637 -32613435316131383638366661326535303865643062323464393865343635333866313939396532 -39396638303462343162613233613834623635383064316635376331363139396536623362383435 -38323066666234623231383433386366326466653837633763396463373865616438666263393931 -63636531343133313930306464396530353765333038346564336165623161393964636337303930 -33373230653035353933633863653036626431316236633730633630373737303734353231316638 -38633536663265333766313636383835323636386434643939613436313038653838656335353731 -35643132613062303130653132366364646334616231376464383866363033333638346139663935 -39656337313638356462373631636135323135373963616566363866333230353736373662356564 -62373631346139303063633236623438373533353431646462396432383837646239373537643064 -37646138383234323638303932326632383161306333623437643363363736633763303439636562 -38336463376230616132333731616238323934623137333939613332313264373938613163393638 -36353864373630626464656435623633363331313538376533386566663333636164613063323534 -34366238656637376462623230383965363661653938653932663130666264666466373062393730 -64616531633464393335393931346266356365653037303432336632623762666638623338363963 -32646261363939623762363865333062346336346234363832303463366333333736653664336436 -37373965656334633933633630326139386438306535333938653734346133613165386664656530 -62613765396536343735613330313637653466663237653139623336663934383362626630646139 -65376135626330353262643536346236393531663531373439383363353631303065396538343837 -61656336633237393663653833376461353430363766373963376332383235626364323766633737 -61376564353537376236626436303738663530363865633331303433333539306433303662313966 -62663830333734383939643662336362393564393733326438356436343037626264636338653261 -32313837653566353364383635353534663765626333396561656134376338633834396135373030 -38383833633263636537656465323539373362393234366238316663353061353635353536643035 -63313964313634343564613763313936356430306637353564323734303230643932643733333762 -34653063653535666331373864643938643838623961383533386630323431363336613633346532 -37333439353538356264616630383431333238303637323235633966393066383331623465613037 -36376433376536313335306232326435626361336232653237336436323936323663646337306263 -61336261636566336563633633353833643763323132383865373039383765353232343066353566 -35626161626633646235343733363333626161316635643366346437326539396135356233383566 -36623464343966336434313934666263653030656135383766366636376161326633336435303661 -38306362623030346530376639343162626637656437646266333665643639336434356636633534 -36376337616161613130376132306630636230393264333261666235353438646433313633616431 -33653163313763323965323336666630373465646538396539303065623163313565663864343733 -38393438383632616665333332386432313465646230663566393139333761623336633136656436 -33376562636264376134383535386366326262656137646361306265613532343133396135333663 -61613462326662633038363537356137633131393736656338376539633831666331623963386361 -66396537356135333639323663336165663430356665323137653137666264616666366333313236 -38373337333833343866373537303366656235366534346262346666613137303534393836306366 -37323262343730336137653665343634363931303335333032646631643036633933326463353338 -31376638383564333639363238643863343665363637343161336435343165383738306264306435 -64306638376266613163613633366561393337613935316536323862376136396162643463393837 -34396338656564303966653434393733303935326636323562336531643266373762643039363664 -65623964336434616663643962303739623839313066626139623037333163666137376562613230 -32366132346139613232343039363263663965363730373334356363383336636561636363373061 -31333033306433623030636332626264363835626330383265343937353566343065666636306135 -36373033373066363666616636366130383130333964613039366238353633636661313233353330 -61663137616431303633393462386262636332656164383934623162643235616536356337303265 -66633235396431373336366364303165363261663132306432393931616463646130633437363132 -38343738303434633138383336366661393131386362613634653435373633663431636536373631 -66346465633365303934396233363030343633366566343334626230343361393139386464393735 -65663031323964663233363837643930643865356334653165356139633838356361613533363262 -32343861326437646363663834356330343132396161353764353330633865376464356462316432 -31343635323232636132303838333538343063643462316263376264323663323435636133623733 -33313034623566643138663136643735616563613865643731636465333537326464313266343262 -31306435306434373537646131316362333836633563653063633131623065393238366330396539 -34353638353732613237633238643032616538383939353061323561653065376365303538376562 -34636632626362326562356666373934333931333631636136376436653266656333626138343364 -62643066363066346133313362353962363134613239386334666433343265613262656463663862 -35313035643963353166383835353135633862633137373862663766363838306134623735333234 -36636435363765333230396337393239393065666261336335636436623164346237376237333133 -38396137616233396664613539646135373266363661626230613263343135663661653134386638 -64626666323762353937663562363434393961323562626230316266636630646331623136336164 -36653237663239373338303963353065356531636438643638323133366537663565393637333937 -62353835373964613066623137353631343035326466376362633764363733653335363730623138 -64343130653932393962383732623038623535353831666166313135316330386561333762363566 -62353337653331353561346461353261333635313533353932323631656362356135346539316239 -31386138646134396564366264346662313165303931663664393136386565656533313031373236 -38303736643133313464636435396632323938633430653462386236333163633064393339613635 -37373763663939663239356535306339303365643136326237636331386135623663636238376235 -39383732613538313362646430356166306465343264623432393535396132653737373262326630 -65313239386661633439346236353266653736303733306538623135663464333130396431656334 -38383534623763373134623162396333356235316639373935333339613437373135376463643036 -35316662393765386137353334393465633964363763663036626339356164366566356161663332 -38313466623337343361353932646137616465363763643033356439626132326264386364633839 -36653163383733366535643866313237386632383137386666666661326637626436346136373135 -63666466383836633334656133346137663961343939653433663463323732323762396139643137 -62363339346338316631663937353763343938333561333861353335366633326664653663376535 -33626337363466383833303162376334656266316662373666626630353365663037386131633363 -66393166643533396663303834353032666361636566646235643064373064396636663363363564 -37353662626166316132333066373537356166306138333538643465356238366363666434303833 -64366361626163323431396533623936346332393962636363643862363765366633623839343665 -65643935383631303138623939656634613334313331323362323037336436316465663961356261 -31306134643539323635663539396564393135376130373238663439333938306332663539646166 -32636238396134326134353636323030333864363263386162356364636331363766386338396638 -65353861643939376166633033346262623239383431643066383132356661313463333262303064 -63626264633961313062636362313030626164306434393165623064666266313130313931613237 -35303266623231376636366364383264396163613234393836333465306531643066363033323235 -62353730323266363364326437343335383566333532343538313434626263373061393461633933 -33343432313333303536373163393861643639383235303130386332353266626634343666613862 -30366662303931333932343236663736333965636436343633373435633361653139396232303437 -36313061333835613838353138666635396661333166663033306365633933313961323233623932 -64643130376364346337313838663935626661336137376663613236333262336466303866393663 -36653362396262363266343261633235323735363863343166306236633036633639343034616635 -63356463353365643063623736646664373031663936316664383338313764623935336662376364 -38376366663161626530393634336133663162383535353934363035626638626464643465373935 -61313334306665613334663733363537333336346164376131313231626566353566623462396636 -61346362396534353737613365623730333530626561316663396466353433353237366630393538 -31326132373664316665333336323134613736646561633064336333303932333432326264613830 -356635396330333132373432663432323238 +61343730373839626636353231356232396132396238376331396264373537626265636436316362 +3338373738303964396432663333386230653236343035610a663339376366326366356262613261 +35663063333137373561313636613633326261653531363564323631393132333563626565323138 +3130346439653137310a376433633064393936373937666238646632633737316363353966656139 +31336131633333353431633937333230386230626266313539316164356534666232383032346636 +32613730393361613232623163333836613039653963653561646566363165343637626364653865 +34653265333165336431313634616162303932333931333031313664353164343465376664656635 +65636135336336333336373261313434343134316235396162306634363765393765343366613835 +63656163386661623663316336343433643464613662643965323533313139393833666166323331 +65623966653437346439653961613232356235396438393965393435323330633430626165336464 +39333831346266663137353061313165326532313334616361663030313263633239633365363766 +64373533313064666134646365353566656161633239663436393865646638666235336230353262 +32396662646633396132353939366433383535373739346531643537356536333363376661346634 +65626331306230333738306562616533353665653138333265346137313639653266326235393431 +62326435643164313133336437343539653563333863333939303963616136303537653337613533 +33376164366565636663353562623134623364326437653433313134373035323663363561333730 +33633334616533383231333362303663333661366237396166636539323330386665633536383133 +66316337613331373339343632333131353130316630383766376666333631656638626161663565 +39323465323834626332613863383764333363393265336130666133303238356136393030316561 +35616230356266363136653835393832313137396532646464386439363139623739343364633163 +35663232316232346661636163616566663966633362636365653561316533626531396264633638 +31303464326264343632336265326137333862376662623761346466623365353131316663376364 +63333633633732613564333966666635666635646638313333626434383438343537373936663839 +64356533383465646535666232636539623362393862626430616434336134336266633265626664 +64313335306561346537333236643764363136366262613331313561323132373337383764643439 +30643431343266333335613266656630356131376136653738396261316339346566376237373363 +65306630303465663562346631313434616566613932653938653539643635323161383235373061 +32643932616435303764343964393965313661353065356461353632316638313263373531626536 +37323833346230363230666166316364643937313064316432386436613733326637313135333832 +38663164643930316465306330303139336637333631383262646362386638333961356538663965 +32633866343961396339336136656634326632303732653561653663663465656139303037343134 +31616334663462306236303833323866653338356336656530656134356135373231313730616631 +35363665636234353565333635616137303539626663306432636530353331326366363464656535 +32666365666638316230653332663962653633323762636636363566336333353933626561653835 +38376334336530623564653663363334363934663230323566333934626561366238633335353633 +62663730646263613562323563663534306465343464656464356131666661653136636163313664 +33353334333235353563613436356532623261646132383534353734346365613134616461396338 +30386365636337643666343262333434356635393638623432653132666634626437643164313830 +30373461393530333933646631343332323136663534316238653936316265353638313564333365 +31636331366433303630353931653237393233323863383431303565656234383065303861656330 +36366666616435383761613964356339613738396438633830656265323361623033373635613131 +31653330623361653536373366303966326330656330633439323038333662626436373966633465 +39303730303266313661343134613564633564303134393039663762316565313337373534343836 +66623761663861326464393830353438336166653236326537333031363931646139373761356563 +66363562363466363765323038306432636532373039383664386631643836383937396637663538 +37643438393534613739373133303537313331303530386464323861393533353163373062613733 +66336630373234363461346266613030316533343633613265343436656633333832646264346661 +35396339343237306161663063323561346139393933643239393461623261646663373565626562 +35303665303262333239613262343633643832396564336533663935363266313863333365356435 +33396565393336616539626261653537343263363037353839346338666233386138363035396565 +30643036613937316637356265663433363164303237613531636536316232666161386461353636 +35316662353461346439353863353838663234666439343035363339643563323335386666396466 +37633138346266336536323835313437636462363566383435313136663561373333343063326566 +33366330333732383266393331313136366136663831616534386136633333663332626138323762 +30396435303962623436383432333265636161313334353339353235626333373631633137646361 +32633530326561663565343535323830626566613465313237323461303432333839343537396562 +63303663313738323536356561666134343035306365666236336561393435323065323139636636 +37313363313535316461626261393236616163363231386632323832323139343032373863393034 +32383630653238393432633532303631356237666635656561363037653732373033656262313063 +62326137343932653561306165643562366361616232633666653366643634363466353562343434 +61343536373763386131393562616166623164396266306666643837316533633461633830626534 +61316631653835366235386338356666363763346135646139323734326332663363326262626435 +35613939336431306535633531303636356633323461613832363364336236633935303861626433 +30303932353832663966353564323466323934373664353432623238623130626630343435313135 +34656261383163613934663636366239303038343030623762316633356365333331663630353538 +61636365326436636233303930396261636333353730333830613236393936643630343864376439 +34623963666362633065303436393765643738616530323636396331333065633861393636633932 +31663437373131343435653066386235366566383135333836633433616633313965633663376439 +39383834366334626264613235363162313663346439363163363330363438646536353139613362 +35333933323464623264623762366565383132383536636338323539343638643566636532366533 +32383564333431343163663965613365636564643038303037616161383133313530323235363034 +39666538636135393636336165393131636231333737643463393434663936356339376635343264 +65623761346535366262343566653530383938616139626138346565373232343737656464653531 +34623137373461613339323539356135653739373262353766643839393233643738636165626230 +31633433633531613435323532633636343339653833333162343661666530376431613865383866 +66633939316436303631376566613063343531366463336661633637353061303330363665366464 +30356162656433326237363566356234316535636337666633393733343666643038663133623931 +35323338616237343739643964316430386133383537396239663138343165313565356562363330 +63383033616563633365396535616339356335636439636362343832333532613830623836323661 +35313936613332336261303031393964316264643764373331636630653132623733393033333336 +64646161353762633133333331353962663966616436343037326463303630636265373430666130 +36363464386664646132303138376337643135376364626166343464366432346334383638666663 +36373831666564623331373966663236613563326162303661333766643861643232616361326161 +32666433333264383564396139626666393663636236353731353834363765303139363039613339 +32326336323461356363363337366162643934326438306535653665313134396664356238326538 +34643633336131326630613733393835303761353436336639336335383234663764663165316164 +64636334383764633663616532326531323265616162323035376132333965313165393564363664 +36666666356266333063336230316262633839626164343034386363663134383630306537323931 +66343731393233653733373466356364623735646238393264336264343930326436623036313039 +61336631316261343936383935336435333334663565636437386135653961666534616232656230 +33346134633738356137643037343337353061633338656665393661316338646536333635666633 +63633963336662323032616638323930626438646233366663303130373265633238356330616338 +34323163326239343637316632323062363166343666323730303662393963616366626365633635 +34363861323436366666353034373432346665326163393737633133383333363964663431653136 +32393432626630366665346136346536316431633362323635376461663262333062313631323736 +63313033646362623434376135393830303534666338376632383535303632333939656634306164 +39663536386431373332333964343537643266373233663664393463353235656661383338316536 +62643235646532626439666332383530643238663831313938333166653232613331613761363939 +30303032613561323230663930396431323235616532623834343432653862616135346131346436 +32336466366332326664346666396635623836613137636636323836353138363330346165656132 +66323034623536343633376437316137303432623530626138636662316430653963383835623731 +30396338646132313936363566303664333833326635356239663038643466623565626137323238 +37626164343831646262646530373764316531333930303636326666633763363662326538653461 +62393932396162626365313765393339383430663662633466366437633136613135653931653736 +33643136386530353761663539373963383336633238626665333738363063306138646339383666 +30613733623061646237656364363931663763626665353435386631653130626635393136316238 +39316132343035306362336565386164646364353835363764333534633335646237616436356633 +30306339643366333461323433313361646362383464633837626639643032323135343163323039 +33356635643037316565653336356136313961396337303432313964363964363463373961646163 +37376135323563333733323366623638306163613937353932646239633735663866366631383138 +37666164396336376332613734663362353638326330313664373635336161633334623138393835 +38346338366364383161346335653136353734616534363535373666653037316263636666626532 +34623032343532363066656635393931373033636239323439613233623735623265363662343631 +36653039376263623437666661346230613632633332376335353064653635616234376361643539 +39376130323564353032366432303832653636356637343438346338396235363665373866636435 +37623537326338346634356636653965663462343763326162653136326633326333613935653030 +33613230393238373730363262633061346534646437313637363864373034313363663531656238 +31656130616334323437643438623232663032366662396630323935653236323365373135373033 +36383535656566363964346664643361393636636132373766653236373633333465313330383837 +34356231376564366236663561646461643930353865343934666561353832643966653363393537 +64626632623736376262656262396535323861306632346232613539626530636435336366646433 +34623037376633386530376664616134303436656535653537666639336234653637636262316362 +63653937613134643637613933343633356435333331646136306666623133633033656435383332 +64326265386365386230353730623131323231613563313664306430343230633432336433386261 +35353231643464333332353431666633373336373235323238393061383232353830656534616130 +62366661633064656136613738396430663433313631396135303239333638313839613131313837 +64303863313138636138336239646464623430306137376366333064636439376337386638373436 +39363336386533373962323365366634656466633663336139313530613439626635306561376530 +37336236363537656533396130646266373664633333653264336332643634323833613336643263 +61643966633838303137616230653730626139363635396236663738396434376363393239616232 +64613933356539316164303130356632376631646137613433363761643737336663376162396530 +63666334626233393335326634336438356531393337343836363435613566316363633332383636 +64386139313762386566666535336364616338373730626334336530636262336364653862383562 +32303935636665313263353437396662613935643461366338343933376366626230653236363661 +39386639373664363632653062373434396337353931326631383731616565343832643835373062 +65346165646133636231313765643464363739306430623731663532366532346138326361353031 +65356264646662333263303934353930353734623561393532313263663237303464356331636332 +65353332633739383336653830613039366366313238303930613830323964316531633064396235 +65336263363430643432366266383563323139396639363930643139613662383339323563363065 +61623036356236353230326461633338633833303061373436616533333161373764353163393464 +34356565633338396365353565653139643864353961393964343235313164353836666566633466 +36633965366235343537353264383037316630356633306434346232376162663536303931666234 +35373466666165656337663263343066396364343235663562383535323762313530376336333831 +33393864323035303864 diff --git a/k8s/infra/monitoring/values.yaml b/k8s/infra/monitoring/values.yaml index 60ddb20..af6794f 100644 --- a/k8s/infra/monitoring/values.yaml +++ b/k8s/infra/monitoring/values.yaml @@ -10,8 +10,29 @@ grafana: host: 192.168.10.1:5432 name: grafana user: grafana + server: + # Requis pour construire le redirect_uri OAuth (LAN : grafana.lab.local) + root_url: http://grafana.lab.local + # SSO OIDC via Authentik (app « grafana » dans l'UI Authentik). + # auth_url = navigateur (auth.lab.local) ; token/api = serveur→serveur (Service + # interne, les pods ne résolvent pas lab.local). Le login local reste actif + # (break-glass : admin / adminPassword ci-dessous) — ne pas mettre disable_login_form. + auth.generic_oauth: + enabled: true + name: Authentik + client_id: grafana + client_secret: $__env{GF_AUTH_GENERIC_OAUTH_CLIENT_SECRET} + scopes: openid profile email + auth_url: http://auth.lab.local/application/o/authorize/ + token_url: http://authentik.auth.svc.cluster.local:9000/application/o/token/ + api_url: http://authentik.auth.svc.cluster.local:9000/application/o/userinfo/ + # Membre du groupe lab-admins → Admin, sinon Viewer + role_attribute_path: contains(groups[*], 'lab-admins') && 'Admin' || 'Viewer' + role_attribute_strict: false + allow_assign_grafana_admin: true envFromSecrets: - name: grafana-db-secret + - name: grafana-oauth-secret ingress: enabled: true ingressClassName: traefik