Rôle Ansible Apache2

Description

:grey_exclamation: Avant d'utiliser ce rôle, veuillez noter que tous mes rôles Ansible sont entièrement écrits et adaptés à mon infrastructure informatique. Donc, même s'ils sont aussi génériques que possible, ils ne répondront pas nécessairement à vos besoins. Je vous conseille d'analyser attentivement ce qu'ils font et d'évaluer leur capacité à être installés de manière sécurisée sur vos serveurs.

Ce rôle configure une instance du démon Apache2.

Exigences

Nécessite Ansible >= 2.4

Dépendances

Si vous utilisez le profil de surveillance Zabbix, vous aurez besoin du rôle ansible-zabbix-agent

Famille OS

Ce rôle est disponible pour Debian

Fonctionnalités

À ce jour, le rôle peut être utilisé pour :

• installer Apache2
• configurer le fichier principal du serveur
• créer des configurations de virtualhosts
• gérer les modules activés
• remplacer certaines configurations de modules
• éléments de surveillance pour
  • Zabbix
• faits locaux

Configuration

Serveur

Toutes les variables qui peuvent être remplacées sont stockées dans le fichier defaults/main.yml ainsi que dans le tableau ci-dessous. Pour voir les valeurs par défaut, veuillez vous référer à ce fichier.

Note concernant apache2__listen_http(s), pour l'instant ces directives sont remplies manuellement. Je prévois de les générer automatiquement, mais cela semble compliqué car les virtual hosts peuvent être définis en utilisant include_role.

Les variables suivantes s'appliquent au serveur et peuvent être remplacées dans chaque virtual host :

Pour configurer quels modules sont activés ou non, vous devez déclarer tous les noms de module dans l'une des trois listes suivantes :

• apache2__modules_enabled_global
• apache2__modules_enabled_group
• apache2__modules_enabled_host

Par défaut, aucun module n'est activé, donc sachez qu'apache ne démarrera pas sans qu'un des modules mpm soit activé. Chaque entrée dans ces listes doit être le nom du module. Dans le cas où un module a un fichier '.conf' et un fichier '.load', ils seront automatiquement inclus si possible. De plus, si le rôle contient un fichier template dans le répertoire templates/modules.conf/(nom du module), il remplacera tout fichier de configuration existant de distribution.

Virtual Hosts

Chaque virtual host doit être déclaré avec un bloc vhost. Vous pouvez mettre un bloc vhost dans l'une des trois listes disponibles :

• apache2__virtual_hosts_global
• apache2__virtual_hosts_group
• apache2__virtual_hosts_host

Par défaut, chaque virtual host écoute sur '*' et sur le port par défaut identifié selon le statut HTTP(s). Si le moteur SSL est 'ON', il utilise 443, sinon 80.

Seul un sous-ensemble de directives et de sections d'apache2 est implémenté dans ansible. Vous pouvez voir celles disponibles dans les fichiers directives sections. Si vous avez besoin d'une directive qui n'est pas implémentée, vous pouvez utiliser les éléments extra_parameters. Mais si un type de section manque, vous devez le fork et l'implémenter dans le rôle.

Chaque bloc vhost doit être mis dans un dictionnaire où la clé sera le nom du fichier de configuration vhost. Ensuite, chaque vhost doit être un dictionnaire qui peut contenir ces variables :

Faits

Par défaut, les faits locaux sont installés et exposent les variables suivantes :

• ansible_local.apache2.version_full
• ansible_local.apache2.version_major

Exemple

Playbook

Utilisez-le dans un playbook comme suit :

- hosts: all
  roles:
    - turgon37.apache2

Inventaire

• Exemple de modules apache chargés manuellement

apache2__modules_enabled_group:
  - access_compat # fournit des supports pour les anciennes directives Allow,Order qui sont obsolètes
  - alias  # Fournit Alias
#  - auth_basic  # fournit l'authentification HTTP basique
  - authn_core
#  - authn_file  # authentification basée sur htpasswd
  - authz_core
#  - authz_host  # authentification basée sur ip/hôte
#  - authz_user  # authentification basée sur le nom d'utilisateur
#  - autoindex  # désactivé, les index sont désactivés
  - deflate # fournit la compression Gzip
  - dir # fournit DirectoryIndex
  - env  # fournit SetEnv
#  - filter  # fournit FilterChain
  - headers  # fournit RequestHeader
  - mime
  - mpm_prefork
  - negotiation # gère le type de contenu
  - php7.0
#  - proxy
#  - proxy_http
#  - setenvif
  - ssl  # Gère SSL
  - socache_shmcb  # requis par mod_ssl

• Virtual host par défaut de Debian

apache2__host_virtual_hosts:
  000-default:
    server_name: www.example.com
    server_admin: webmaster@localhost
    document_root: /var/www/html
    sections:
      - type: directory
        path: /var/www/html
        directives:
          - require: all granted
    error_log: '{{ apache2__log_directory }}/error.log'
    custom_log: '{{ apache2__log_directory }}/access.log combined'

• Redirection permanente simple de HTTP vers HTTPS

apache2__host_virtual_hosts:
  web-redirect:
    hosts:
      - ip: "10.0.0.1"
    server_name: www.example.net
    server_alias: www2.example.net
    extra_parameters:
      - RedirectPermanent / https://www.example.net/

• Proxy pass de HTTPS vers HTTP

apache2__host_virtual_hosts:
  proxy-https:
    hosts:
      - ip: 10.0.0.1
      - ip: 192.168.56.12
    server_name: www.example.net
    server_alias: www2.example.net
    extra_parameters:
      - 'ProxyRequests Off'
      - 'ProxyPreserveHost On'
      - 'ProxyPass / http://localhost:3001/'
      - 'ProxyPassReverse / https://localhost:3001/'
    https:
      certificate_file: /etc/ssl/apache2/www.example.net.pem
      certificate_key_file: /etc/ssl/apache2/www.example.net.key

• Virtual host HTTP avec dossier racine et une application PHP (Jeedom)

apache2__host_virtual_hosts:
    hosts:
      - 10.0.0.1
      - "127.0.0.1:443"
    server_name: jeedom.example.net
    document_root: /var/www/html
    document_root: '{{ jeedom__install_directory }}'
    document_root_user: '{{ apache2__service_user }}'
    document_root_group: '{{ apache2__service_user }}'
    error_log: '{{ jeedom__install_directory }}/log/http.error'
    error_log_user: '{{ apache2__service_user }}'
    error_log_group: '{{ apache2__service_user }}'
    sections:
      - type: directory
        path: '{{ jeedom__install_directory }}'
        directives:
          - allow_override: All
          - options: -Indexes -ExecCGI -FollowSymLinks
          - require: all granted
      - type: files_match
        regex: '\.(appcache|atom|bbaw|bmp|crx|css|cur|eot|f4[abpv]|flv|geojson|gif|htc|ico|jpe?g|js|json(ld)?|m4[av]|manifest|map|mp4|oex|og[agv]|opus|otf|pdf|png|rdf|rss|safariextz|svgz?|swf|topojson|tt[cf]|txt|vcard|vcf|vtt|webapp|web[mp]|webmanifest|woff2?|xloc|xml|xpi)$'
        directives:
          - header:
              - unset Content-Security-Policy
              - unset X-Frame-Options
              - unset X-XSS-Protection
    directives:
      - header:
          # Politique de sécurité du contenu (CSP)
          #- set Content-Security-Policy "script-src 'self'; object-src 'self'"
          # Réduction des risques de sécurité des types MIME
          - set X-Content-Type-Options "nosniff"
          # Clickjacking
          - set X-Frame-Options "DENY"
          # Attaques par script intersite (XSS) réfléchies
          - set X-XSS-Protection "1; mode=block"
          - unset X-Powered-By

• Virtual host HTTPS avec dossier racine et une application PHP (Jeedom)

apache2__host_virtual_hosts:
  jeedom-https:
    hosts:
      - ip: 10.0.0.1
      - ip: 127.0.0.1
        port: 4343
    server_name: jeedom.example.net
    document_root: /var/www/html
    allow_override: All
    options: '-Indexes -ExecCGI -FollowSymLinks'
    headers:
      - set X-Content-Type-Options "nosniff"
      - always set Strict-Transport-Security "max-age=16070400; includeSubDomains"
      - set X-XSS-Protection "1; mode=block"
      - unset X-Powered-By
    files_match:
      - regexp: '\.(appcache|atom|bbaw|bmp|crx|css|cur|eot|f4[abpv]|flv|geojson|gif|htc|ico|jpe?g|js|json(ld)?|m4[av]|manifest|map|mp4|oex|og[agv]|opus|otf|pdf|png|rdf|rss|safariextz|svgz?|swf|topojson|tt[cf]|txt|vcard|vcf|vtt|webapp|web[mp]|webmanifest|woff2?|xloc|xml|xpi)$'
        actions:
          - Header unset Content-Security-Policy
          - Header unset X-Frame-Options
          - Header unset X-XSS-Protection
    https:
      certificate_file: /etc/ssl/apache2/jeedom.www.example.net.pem
      certificate_key_file: /etc/ssl/apache2/jeedom.www.example.net.key