---
# Deployt die eigentliche Jumphost-Anwendung als gehaertete systemd-Unit.
# KEK und Session-Secret werden ueber systemd-creds verschluesselt abgelegt
# (Konzept 6.4) -- niemals als Klartext-Env-Variable im Unit-File.

- name: Konfigurationsverzeichnis anlegen
  ansible.builtin.file:
    path: /etc/jumphost
    state: directory
    owner: root
    group: "{{ jumphost_app_group }}"
    mode: "0750"

- name: Pruefen ob systemd-creds verfuegbar ist (systemd >= 250 empfohlen)
  ansible.builtin.command: systemd-creds --version
  register: _creds_check
  changed_when: false
  failed_when: false

- name: Warnung ausgeben, falls systemd-creds fehlt
  ansible.builtin.debug:
    msg: >
      WARNUNG: systemd-creds nicht verfuegbar. Fallback auf Env-Variablen
      (JUMPHOST_KEK/JUMPHOST_SESSION_SECRET) in einer 0600-EnvironmentFile --
      weniger sicher als LoadCredentialEncrypted=, siehe Konzept 6.4.
  when: _creds_check.rc != 0

- name: KEK verschluesselt ablegen (systemd-creds)
  ansible.builtin.shell: |
    set -o pipefail
    echo -n '{{ vault_jumphost_kek }}' | systemd-creds encrypt --name=jumphost_kek - /etc/jumphost/jumphost_kek.cred
  args:
    creates: /etc/jumphost/jumphost_kek.cred
    executable: /bin/bash
  when: _creds_check.rc == 0
  no_log: true

- name: Session-Secret verschluesselt ablegen (systemd-creds)
  ansible.builtin.shell: |
    set -o pipefail
    echo -n '{{ vault_jumphost_session_secret }}' | systemd-creds encrypt --name=jumphost_session_secret - /etc/jumphost/jumphost_session_secret.cred
  args:
    creates: /etc/jumphost/jumphost_session_secret.cred
    executable: /bin/bash
  when: _creds_check.rc == 0
  no_log: true

- name: Fallback-EnvironmentFile (nur falls systemd-creds fehlt)
  ansible.builtin.copy:
    dest: /etc/jumphost/env
    owner: root
    group: "{{ jumphost_app_group }}"
    mode: "0640"
    content: |
      JUMPHOST_KEK={{ vault_jumphost_kek }}
      JUMPHOST_SESSION_SECRET={{ vault_jumphost_session_secret }}
  when: _creds_check.rc != 0
  no_log: true

- name: systemd-Unit fuer die Jumphost-App ausrollen
  ansible.builtin.template:
    src: jumphost-app.service.j2
    dest: /etc/systemd/system/jumphost-app.service
    owner: root
    group: root
    mode: "0644"
  notify:
    - reload systemd
    - restart jumphost-app service

- name: Jumphost-App aktivieren und starten
  ansible.builtin.systemd:
    name: jumphost-app
    daemon_reload: true
    enabled: true
    state: started