---
# CIS 1.1.2.x (nodev/nosuid/noexec auf /tmp, /dev/shm). Best-Effort: nur
# wirksam, wenn diese Pfade BEREITS eigene Mountpoints sind. Ob das der Fall
# ist, haengt vom Partitionslayout des Basis-Images ab -- siehe
# CIS_STIG_MAPPING.md fuer den Hinweis, dass ein vollstaendig CIS-konformes
# Partitionslayout (separate /tmp, /var, /var/log, /var/log/audit, /home)
# eine bewusste Entscheidung bei der OS-Installation ist und nicht nachtraeglich
# per Ansible auf ein bestehendes System aufgepraegt werden kann, ohne die
# Platte neu zu partitionieren.

- name: Pruefen, ob /tmp ein eigener Mountpoint ist
  ansible.builtin.command: findmnt --noheadings --output SOURCE /tmp
  register: _tmp_mount
  changed_when: false
  failed_when: false

- name: /tmp mit noexec,nosuid,nodev in /etc/fstab absichern (falls eigener Mountpoint)
  ansible.builtin.lineinfile:
    path: /etc/fstab
    regexp: '^\S+\s+/tmp\s+'
    line: "{{ _tmp_mount.stdout }} /tmp tmpfs defaults,noexec,nosuid,nodev 0 0"
    backup: true
  when: os_hardening_restrict_tmp_mounts and _tmp_mount.rc == 0 and _tmp_mount.stdout != ''
  notify: remount tmp

- name: Pruefen, ob /dev/shm ein eigener Mountpoint ist
  ansible.builtin.command: findmnt --noheadings --output SOURCE /dev/shm
  register: _shm_mount
  changed_when: false
  failed_when: false

- name: /dev/shm mit noexec,nosuid,nodev in /etc/fstab absichern (falls eigener Mountpoint)
  ansible.builtin.lineinfile:
    path: /etc/fstab
    regexp: '^\S+\s+/dev/shm\s+'
    line: "{{ _shm_mount.stdout }} /dev/shm tmpfs defaults,noexec,nosuid,nodev 0 0"
    backup: true
  when: os_hardening_restrict_tmp_mounts and _shm_mount.rc == 0 and _shm_mount.stdout != ''
  notify: remount shm

- name: Hinweis, falls /tmp kein eigener Mountpoint ist
  ansible.builtin.debug:
    msg: >
      /tmp ist kein eigener Mountpoint auf diesem System -- noexec/nosuid/nodev
      koennen so nicht erzwungen werden. Fuer volle CIS-Konformitaet muesste
      /tmp bei der OS-Installation als eigene Partition/eigenes tmpfs angelegt
      werden (siehe CIS_STIG_MAPPING.md).
  when: os_hardening_restrict_tmp_mounts and (_tmp_mount.rc != 0 or _tmp_mount.stdout == '')