docs(minio) — le raisonnement part dans l'ADR, le code garde ce qui protège

Les décisions de conception (qui déclare, qui détient, pourquoi les octets ne
passent pas par l'API) vivent désormais dans
`factory/doc/adr/20260726-stockage-objet-minio.md`.

Le code ne garde que ce qu'un relecteur ne peut pas deviner et qui l'empêcherait
de casser quelque chose : l'absence VOLONTAIRE de s3:GetObject/PutObject dans la
politique du provisionneur, l'absence VOLONTAIRE de basic-auth sur l'ingress
S3, le caractère inconditionnel de la règle Vault, et l'avertissement sur les
noms d'actions MinIO non éprouvés. Chaque fichier pointe l'ADR.

283 → 230 lignes sur minio/iac. tofu fmt propre, tofu validate réussi sur les
deux racines.

Co-Authored-By: Claude Opus 5 (1M context) <[email protected]>
Claude-Session: https://claude.ai/code/session_01CoafGWmRVESaWX819USUUA

minio/iac/modules/minio_app/main.tf

@@ -1,38 +1,13 @@
-# ── Module `minio_app` — une app déclare SES buckets, depuis SON dépôt ───────
-#
-# Chacun son périmètre (fondateur 2026-07-26) : les buckets d'une application
-# appartiennent au dépôt de cette application, pas à l'infra partagée. `tools`
-# ne fait que STANDARDISER la déclaration — il ne la détient pas. Sans ça,
-# chaque bucket de chaque app deviendrait une PR sur le dépôt commun.
-#
-# Usage, depuis l'`iac/` de l'app :
-#
-#   module "stockage" {
-#     source  = "git::…/tools.git//minio/iac/modules/minio_app?depth=1&ref=main"
-#     app     = "kadans"
-#     buckets = ["kadans-videos"]
-#     providers = { minio = minio }
-#   }
-#
-# Ce que le module garantit :
-#   · les buckets sont PRIVÉS — l'accès passe par des URL présignées ;
-#   · le compte de service ne peut RIEN toucher d'autre que ces buckets-là ;
-#   · ses clés atterrissent dans `kvv2/minio/<app>`, que le module Vault central
-#     autorise déjà l'app à lire (règle inconditionnelle : le chemin porte le nom
-#     de l'app, donc il ne peut exposer que ses propres clés).
+# Module `minio_app` — une app déclare SES buckets depuis SON dépôt.
+# Décisions : factory/doc/adr/20260726-stockage-objet-minio.md
 
 resource "minio_s3_bucket" "app" {
-  for_each = toset(var.buckets)
-  bucket   = each.key
-  acl      = "private"
-  # Les objets sont DÉRIVÉS (rendus de transfert) et régénérables depuis les
-  # originaux restés sur l'appareil : un `force_destroy` accidentel ne détruit
-  # donc rien d'irremplaçable, mais on l'interdit quand même — la destruction
-  # d'un bucket doit être un geste explicite, pas un effet de bord d'un plan.
-  force_destroy = false
+  for_each      = toset(var.buckets)
+  bucket        = each.key
+  acl           = "private" # l'accès passe par des URL présignées
+  force_destroy = false     # détruire un bucket doit être un geste explicite
 }
 
-# La politique : SES buckets, rien d'autre. Ni les autres, ni l'administration.
 resource "minio_iam_policy" "app" {
   name = "${var.app}-app"
   policy = jsonencode({
@@ -44,8 +19,6 @@ resource "minio_iam_policy" "app" {
         Resource = [for b in var.buckets : "arn:aws:s3:::${b}/*"]
       },
       {
-        # Nécessaire pour qu'un client S3 vérifie l'existence d'un bucket et
-        # liste SES objets — jamais ceux d'une autre app.
         Effect   = "Allow"
         Action   = ["s3:ListBucket", "s3:GetBucketLocation"]
         Resource = [for b in var.buckets : "arn:aws:s3:::${b}"]
@@ -60,12 +33,9 @@ resource "random_password" "app" {
 }
 
 resource "minio_iam_user" "app" {
-  name = "${var.app}-app"
-  # Le mot de passe EST la clé secrète S3 : généré ici, jamais choisi.
-  secret = random_password.app.result
-  # `false` : une rotation du mot de passe ne recrée pas l'utilisateur, donc les
-  # objets déjà déposés gardent leur propriétaire.
-  force_destroy = false
+  name          = "${var.app}-app"
+  secret        = random_password.app.result
+  force_destroy = false # une rotation ne recrée pas l'utilisateur : les objets gardent leur propriétaire
 }
 
 resource "minio_iam_user_policy_attachment" "app" {
@@ -73,9 +43,7 @@ resource "minio_iam_user_policy_attachment" "app" {
   policy_name = minio_iam_policy.app.id
 }
 
-# Les clés, dans l'espace Vault de MinIO — lu par le pod de l'app.
-# `MINIO_BUCKETS` les liste toutes pour que l'app n'ait pas à les redéclarer ;
-# `MINIO_BUCKET` reste le premier, pour celles qui n'en ont qu'un.
+# Lu par le pod de l'app — `app_policy` lui accorde déjà ce chemin.
 resource "vault_kv_secret_v2" "app" {
   mount = "kvv2"
   name  = "minio/${var.app}"