---
# Remplace la policy SCA locale "cis_ubuntu24-04" livree avec l'agent Wazuh par une
# version allegee (checks non applicables a notre infra retires : partitions separees,
# GDM/X11, wifi/bluetooth, ufw, nftables). Le fichier pousse via /var/ossec/etc/shared/
# n'est PAS utilise par le module SCA quand un fichier local du meme policy id existe deja
# (seul le premier charge, /var/ossec/ruleset/sca/, est evalue) — d'ou le remplacement direct.

- name: Policy SCA Wazuh allegee (CIS Ubuntu 24.04)
  hosts: prod,pre-prod,replica-prod,infra,infra-runner,infra-utils,ota-uber,load-balancer,!backup-mln
  become: true
  gather_facts: false

  tasks:
      - name: Déployer la policy SCA allégée
        ansible.builtin.copy:
            src: ../files/wazuh-sca/cis_ubuntu24-04.yml
            dest: /var/ossec/ruleset/sca/cis_ubuntu24-04.yml
            owner: root
            group: wazuh
            mode: "0640"
        notify: restart wazuh-agent

  handlers:
      - name: restart wazuh-agent
        ansible.builtin.systemd:
            name: wazuh-agent
            state: restarted