akadmin/Funk-lab
1
0
Fork 0
mirror of https://github.com/Alkatrazz24/Funk-lab.git synced 2026-07-08 17:54:41 +02:00
Code Issues Projects Releases Packages Wiki Activity Actions
Funk-lab/ansible/roles/console_user/README.md
ALI YESILKAYA 87b786eb57
feat(auth): annuaire Authentik + portail consoles Guacamole (#76) 
- k8s/apps/authentik : IdP OIDC (auth.lab.local), namespace auth —
  server + worker 2026.5.3, Redis in-cluster, PG sur storage-01, PVC media
- k8s/apps/guacamole : portail consoles SSH web s01/g01 (portail.lab.local) —
  guacd + webapp 1.6.0, SSO OIDC vers Authentik, Job initdb idempotent
- ansible : rôle console_user (user sans sudo pour les consoles, s01 + g01),
  bases PG authentik/guacamole, secrets vault (mdp PG + clé SSH console)
- doc : admin/k8s/auth-portal.md (déploiement, config initiale, pièges)

Co-authored-by: Claude Fable 5 <noreply@anthropic.com>
2026-07-06 21:24:46 +02:00

1.3 KiB
Raw Permalink Blame History

Rôle console_user

Crée l'utilisateur console (non privilégié, sans sudo) sur les hôtes AlmaLinux. C'est le compte que Guacamole (portail.lab.local) utilise pour ouvrir les consoles SSH web vers storage-01 et gpu-01.

Variables

Variable Défaut Rôle
console_user_name console Nom du compte
console_user_home /home/console Home
console_user_public_key clé ed25519 (défauts) Clé publique autorisée — appairée avec vault_console_ssh_private_key

Caveats

  • La clé privée correspondante est dans le vault (vault_console_ssh_private_key) ; elle se colle dans les paramètres de connexion Guacamole (UI → stockée dans la base guacamole sur storage-01). make vault-view pour la récupérer.
  • exclusive: true sur authorized_keys : toute clé ajoutée à la main sur ce compte sera supprimée au run suivant.
  • Pas de sudo volontairement. Pour de l'administration, ouvrir une session avec un compte admin classique, pas via le portail.
  • Rotation de clé : régénérer une paire ed25519, remplacer la clé publique ici et la privée dans le vault + dans les connexions Guacamole, puis re-appliquer le rôle.

Doc portail complète : admin/k8s/auth-portal.md.