---
serveur_icinga_paquets:
  - icinga2
  - icingadb
  - icingadb-redis
  - postgresql-client  # pour importer le schema vers la BD distante

serveur_icinga_service_icinga2: "icinga2"
serveur_icinga_service_icingadb: "icingadb"
serveur_icinga_service_redis: "icingadb-redis"

# Depot apt officiel Icinga (paquet trousseau + source signee).
serveur_icinga_keyring_url: >-
  https://packages.icinga.com/icinga-archive-keyring_latest+debian{{ ansible_distribution_major_version }}.deb
serveur_icinga_depot_source: >-
  deb [signed-by=/usr/share/keyrings/icinga-archive-keyring.gpg]
  https://packages.icinga.com/debian icinga-{{ ansible_distribution_release }} main

# Base Icinga DB : resolue depuis le registre par le groupe consommateur.
serveur_icinga_groupe: "serveur_icinga"
serveur_icinga_db_host: ""   # dérivé (FQDN) par resoudre_base au déploiement

# Redis dedie a Icinga DB (paquet icingadb-redis).
serveur_icinga_redis_host: "localhost"
serveur_icinga_redis_port: 6380

serveur_icinga_config: "/etc/icingadb/config.yml"
serveur_icinga_schema: "/usr/share/icingadb/schema/pgsql/schema.sql"

# TLS vers PostgreSQL (zero-confiance). true = IcingaDB verifie le cert serveur
# contre le root_ca step-ca (host dans le SAN). root_ca doit etre lisible (0644).
serveur_icinga_db_tls: false
serveur_icinga_db_ca: "/etc/step/certs/root_ca.crt"

# --- Supervision des sauvegardes (resultats passifs pousses par le depot) ---
# Le controle porte sur la VERITE DE TERRAIN (l'instantane cote depot), pas sur l'unite
# systemd du noeud source : une unite verte sur un depot vide a menti pendant un mois.
serveur_icinga_setops_conf: "/etc/icinga2/conf.d/setops-sauvegardes.conf"
serveur_icinga_api_conf: "/etc/icinga2/conf.d/setops-api-users.conf"
serveur_icinga_api_utilisateur: "setops-depot"
serveur_icinga_api_motdepasse: "{{ vault_icinga_api_depot | default('') }}"

# Hote portant les depots : DERIVE du groupe, jamais ecrit en dur.
serveur_icinga_hote_sauvegarde: "{{ (groups['serveur_backup'] | default([]) | first) | default('') }}"

# Noeuds dont on ATTEND un instantane : ceux qui portent client_backup ET detiennent
# reellement de l'etat. Meme regle que `client_backup_jobs`, et meme source que P36 —
# la liste en clair du catalogue, lue depuis le role qui la possede.
serveur_icinga_sauvegarde_attendue: >-
  {{ (client_backup_groupes_etat | default([]) | map('extract', groups)
      | select('defined') | flatten | unique | list)
     | intersect(groups['client_backup'] | default([])) }}