#!/bin/bash
# Géré par Ansible (rôle turn) — ne pas modifier à la main.
# Copie le certificat Let's Encrypt dans un endroit lisible par coturn (sa
# clé privée originale reste 600 root:root, hors de portée de turnserver) et
# redémarre coturn. Lancé par Ansible (premier déploiement) et par certbot à
# chaque renouvellement (/etc/letsencrypt/renewal-hooks/deploy/).
set -euo pipefail
install -o root -g turnserver -m 0640 /etc/letsencrypt/live/{{ turn_domaine_certificat }}/fullchain.pem /etc/turnserver/cert/fullchain.pem
install -o root -g turnserver -m 0640 /etc/letsencrypt/live/{{ turn_domaine_certificat }}/privkey.pem /etc/turnserver/cert/privkey.pem
systemctl restart coturn