Automatiser Windows Server et Active Directory

---
- name: Configurer le serveur de fichiers
  hosts: fichiers

  tasks:
    - name: Installer le serveur de fichiers et le gestionnaire de ressources
      ansible.windows.win_feature:
        name:
          - FS-FileServer
          - FS-Resource-Manager
        include_management_tools: true
        state: present
      register: roles_fichiers

    - name: Redémarrer si l'installation l'exige
      ansible.windows.win_reboot:
      when: roles_fichiers.reboot_required

    - name: Créer le dossier de la comptabilité
      ansible.windows.win_file:
        path: D:\Partages\Compta
        state: directory

    - name: Donner la modification au groupe DL_Compta_M (NTFS)
      ansible.windows.win_acl:
        path: D:\Partages\Compta
        user: SORBIER\DL_Compta_M
        rights: Modify
        type: allow
        inherit: ContainerInherit, ObjectInherit
        state: present

    - name: Donner la lecture au groupe DL_Compta_L (NTFS)
      ansible.windows.win_acl:
        path: D:\Partages\Compta
        user: SORBIER\DL_Compta_L
        rights: ReadAndExecute
        type: allow
        inherit: ContainerInherit, ObjectInherit
        state: present

    - name: Partager le dossier
      ansible.windows.win_share:
        name: Compta
        path: D:\Partages\Compta
        description: Partage de la comptabilité
        change: SORBIER\DL_Compta_M
        read: SORBIER\DL_Compta_L
        list: false
        state: present

    - name: Autoriser l'agent de supervision depuis srv-journaux
      ansible.windows.win_firewall_rule:
        name: Agent de supervision (srv-journaux)
        localport: "10050"
        protocol: tcp
        direction: in
        action: allow
        remoteip: 192.168.10.180
        profiles: domain
        state: present
        enabled: true

    - name: Installer les mises à jour critiques et de sécurité
      ansible.windows.win_updates:
        category_names:
          - CriticalUpdates
          - SecurityUpdates
        reboot: true

    - name: Réserver l'adresse de l'imprimante des RH
      ansible.windows.win_dhcp_lease:
        type: reservation
        scope_id: 192.168.10.64
        ip: 192.168.10.111
        mac: 00-1B-A9-4C-21-80
        reservation_name: IMP-RH
        description: Imprimante RH
        state: present

    - name: Déclarer srv-recette dans la zone du domaine
      ansible.windows.win_dns_record:
        name: srv-recette
        type: A
        value: 192.168.21.186
        zone: ad.sorbier.example
        state: present

    - name: Créer l'étendue DHCP de la téléphonie si elle n'existe pas
      ansible.windows.win_powershell:
        parameters:
          ScopeId: 192.168.10.160
          Debut: 192.168.10.161
          Fin: 192.168.10.173
          Masque: 255.255.255.240
          Passerelle: 192.168.10.174
        script: |
          param($ScopeId, $Debut, $Fin, $Masque, $Passerelle)
          $ErrorActionPreference = 'Stop'
          if (Get-DhcpServerv4Scope -ScopeId $ScopeId -ErrorAction SilentlyContinue) {
              $Ansible.Changed = $false
              return
          }
          Add-DhcpServerv4Scope -Name 'VLAN50-TELEPHONIE' -StartRange $Debut -EndRange $Fin `
              -SubnetMask $Masque -LeaseDuration 8.00:00:00 -State Active
          Set-DhcpServerv4OptionValue -ScopeId $ScopeId -Router $Passerelle

---
arrivees:
  - login: lgirard
    prenom: Lucas
    nom: Girard
    service: Logistique
    groupes: [GG_Logistique]
  - login: eberard
    prenom: Élise
    nom: Bérard
    service: Commercial
    groupes: [GG_Commerciaux]

---
- name: Créer les comptes Active Directory des arrivées
  hosts: srv-ad
  vars_files:
    - vars/arrivees.yml
  vars:
    base_ou: OU=Sorbier,DC=ad,DC=sorbier,DC=example

  tasks:
    - name: Garantir l'OU de chaque service
      microsoft.ad.ou:
        name: "{{ item }}"
        path: OU=Utilisateurs,{{ base_ou }}
        protect_from_deletion: true
        state: present
      loop: "{{ arrivees | map(attribute='service') | unique }}"

    - name: Garantir les groupes globaux
      microsoft.ad.group:
        name: "{{ item }}"
        scope: global
        category: security
        path: OU=Groupes,{{ base_ou }}
        state: present
      loop: "{{ arrivees | map(attribute='groupes') | flatten | unique }}"

    - name: Lister les comptes qui existent déjà
      microsoft.ad.object_info:
        ldap_filter: (&(objectClass=user)(objectCategory=person))
        search_base: OU=Utilisateurs,{{ base_ou }}
        properties:
          - sAMAccountName
      register: comptes_existants

    - name: Créer ou mettre à jour chaque compte
      microsoft.ad.user:
        name: "{{ item.prenom }} {{ item.nom }}"
        firstname: "{{ item.prenom }}"
        surname: "{{ item.nom }}"
        sam_account_name: "{{ item.login }}"
        upn: "{{ item.login }}@ad.sorbier.example"
        path: OU={{ item.service }},OU=Utilisateurs,{{ base_ou }}
        password: "{{ lookup('ansible.builtin.password', 'identifiants/' ~ item.login ~ '.txt', length=16, chars=['ascii_letters', 'digits', '!?#%+']) }}"
        update_password: on_create
        password_expired: "{{ (logins_existants is not contains(item.login)) | ternary(true, omit) }}"
        groups:
          add: "{{ item.groupes }}"
        enabled: true
        state: present
      loop: "{{ arrivees }}"
      loop_control:
        label: "{{ item.login }}"
      vars:
        logins_existants: "{{ comptes_existants.objects | map(attribute='sAMAccountName') | list }}"
      no_log: true