first commit

2026-07-22 21:01:19 +02:00
commit 8bb06f3737
57 changed files with 3529 additions and 0 deletions
@@ -0,0 +1,83 @@
+---
+# Durcissement CIS Ubuntu 24.04 — AppArmor installe, active au boot, tous les profils enforcing
+# (checks 35536-35539)
+#
+# CONTEXTE (verifie manuellement avant deploiement) : sur cette infra, apparmor_status montre
+# des dizaines de profils en mode "unconfined"/"complain" qui correspondent tous a des paquets
+# desktop jamais utilises sur des serveurs headless (navigateurs, Discord, Steam, transmission,
+# runtimes conteneurs standalone comme runc/crun/podman non utilises directement — Docker confine
+# deja ses containers via le profil "docker-default", separe et deja enforce). Aucun process
+# reellement actif n'est concerne par le passage en enforce de ces profils inutilises.
+#
+# IMPORTANT GRUB : /etc/default/grub contient deja "audit=1 audit_backlog_limit=8192"
+# (playbook-coredump-auditd-hardening.yml) — ce playbook AJOUTE apparmor=1 security=apparmor
+# a la suite, ne remplace jamais la ligne existante.
+#
+# `aa-enforce /etc/apparmor.d/*` s'applique a chaud (pas de redemarrage necessaire pour le
+# check CIS lui-meme), mais comme pour audit=1, le parametre GRUB apparmor=1/security=apparmor
+# necessite un redemarrage pour etre reellement actif au niveau noyau (le check 35537 passe
+# immediatement car il inspecte /etc/default/grub, pas l'etat runtime).
+#
+# `serial: 1` + `any_errors_fatal` : un host a la fois, arret immediat si un host casse.
+#
+# Usage recommande : tester sur un host avant le rollout complet :
+#   ansible-playbook hardening/playbook-apparmor-hardening.yml --limit pre-prod-uber
+
+- name: Durcissement AppArmor (CIS Ubuntu 24.04)
+  hosts: prod,pre-prod,bdd-redis-prod,replica-prod,infra,infra-runner,infra-utils,load-balancer
+  become: true
+  serial: 1
+  any_errors_fatal: true
+
+  tasks:
+      - name: Installer apparmor et apparmor-utils
+        ansible.builtin.apt:
+            name:
+                - apparmor
+                - apparmor-utils
+            state: present
+            update_cache: true
+            cache_valid_time: 3600
+
+      - name: Sauvegarder /etc/default/grub avant modification
+        ansible.builtin.copy:
+            src: /etc/default/grub
+            dest: /etc/default/grub.bak-cis-apparmor
+            remote_src: true
+            owner: root
+            group: root
+            mode: "0644"
+
+      - name: Ajouter apparmor=1 security=apparmor a GRUB_CMDLINE_LINUX (sans ecraser audit=1 existant)
+        ansible.builtin.shell: |
+            set -e
+            if ! grep -q 'apparmor=1' /etc/default/grub; then
+                sed -i 's/^\(GRUB_CMDLINE_LINUX="[^"]*\)"/\1 apparmor=1 security=apparmor"/' /etc/default/grub
+                echo CHANGED
+            fi
+        register: grub_conf
+        changed_when: "'CHANGED' in grub_conf.stdout"
+
+      - name: Regenerer grub.cfg si la config a change
+        ansible.builtin.command:
+            cmd: update-grub
+        when: grub_conf.changed
+        changed_when: true
+
+      - name: Forcer tous les profils AppArmor en mode enforce
+        ansible.builtin.command:
+            cmd: aa-enforce /etc/apparmor.d/*
+        changed_when: true
+
+      - name: Verifier l'etat final (apparmor_status)
+        ansible.builtin.command:
+            cmd: apparmor_status
+        register: aa_status
+        changed_when: false
+        failed_when: >
+            'profiles are in complain mode' in aa_status.stdout and
+            not (aa_status.stdout | regex_search('^0\s*profiles are in complain mode', multiline=True))
+
+      - name: Confirmer le succes pour cet host
+        ansible.builtin.debug:
+            msg: "✅ AppArmor durci sur {{ inventory_hostname }} — reboot requis pour apparmor=1/security=apparmor au niveau noyau."