get cloudflared client real ip and fix crowdsec mw

ansible/arcodange/factory/playbooks/01_system.yml

@@ -291,6 +291,9 @@
                 traefik:
                   expose:
                     default: true
+                web:
+                  forwardedHeaders:
+                    trustedIPs: ["10.42.0.0/16"] #default k3s cidr
               ingressRoute:
                 dashboard:
                   enabled: true
@@ -343,7 +346,7 @@
               additionalArguments:
                 - '--providers.file.filename=/config/dynamic.yaml'
                 - '--providers.kubernetesingress.ingressendpoint.publishedservice=kube-system/traefik'
-                - "--providers.kubernetescrd"
+                - "--providers.kubernetescrd.allowcrossnamespace=true"
               certificatesResolvers:
                 letsencrypt:
                   acme:

iac/README.md

@@ -3,3 +3,6 @@
 Provisionne un utilisateur gitea "tofu_module_reader",
 autorisé à lire certains projets il est utilisé par la CI pour récupérer des blueprints terraform
 via sa clé ssh répertoriée dans vault.
+
+#
+configure les tokens ovh et cloudflare pour permettre aux autre projet de gérer des resources du cloud

iac/cloudflare.tf

@@ -68,7 +68,9 @@ module "cf_arcodange_cms_token" {
       "account:Account DNS Settings Write",
       "account:Account Settings Read",
       "zone:Zone Write",
+      "zone:Zone Settings Write",
       "zone:DNS Write",
+      "account:Cloudflare Tunnel Write",
     ]
   }
 }

iac/providers.tf

@@ -30,11 +30,10 @@ provider "gitea" { # https://registry.terraform.io/providers/go-gitea/gitea/late
 
 provider "vault" {
   address = "https://vault.arcodange.duckdns.org"
-  token = "hvs.CAESIH6uB0AKBdNoX5HdY4FQ8NlF1Dvrxoxo6fbMEnkhQ2zJGh4KHGh2cy40cFU1UHAzejl0bXB4VElJWGpobTNaQ3U"
-  # auth_login_jwt { # TERRAFORM_VAULT_AUTH_JWT environment variable
-  #   mount = "gitea_jwt"
-  #   role  = "gitea_cicd"
-  # }
+  auth_login_jwt { # TERRAFORM_VAULT_AUTH_JWT environment variable
+    mount = "gitea_jwt"
+    role  = "gitea_cicd"
+  }
 }
 
 provider "google" {