docs(minio) — le raisonnement part dans l'ADR, le code garde ce qui protège

Les décisions de conception (qui déclare, qui détient, pourquoi les octets ne passent pas par l'API) vivent désormais dans `factory/doc/adr/20260726-stockage-objet-minio.md`. Le code ne garde que ce qu'un relecteur ne peut pas deviner et qui l'empêcherait de casser quelque chose : l'absence VOLONTAIRE de s3:GetObject/PutObject dans la politique du provisionneur, l'absence VOLONTAIRE de basic-auth sur l'ingress S3, le caractère inconditionnel de la règle Vault, et l'avertissement sur les noms d'actions MinIO non éprouvés. Chaque fichier pointe l'ADR. 283 → 230 lignes sur minio/iac. tofu fmt propre, tofu validate réussi sur les deux racines. Co-Authored-By: Claude Opus 5 (1M context) <[email protected]> Claude-Session: https://claude.ai/code/session_01CoafGWmRVESaWX819USUUA
2026-07-26 10:19:28 +02:00
parent ec71571b98
commit 7074a94d7e
9 changed files with 43 additions and 125 deletions
@@ -23,9 +23,7 @@ provider "vault" {
  }
 }

-# Provider MinIO — pour créer les COMPTES DE SERVICE des apps consommatrices.
-# Il parle à l'API S3 publique (s3.arcodange.fr, exposée par le chart) : le
-# runner CI n'est pas dans le LAN, et `.lab` ne s'y résout pas.
+# Provider MinIO — crée le compte de provisionnement (provisioner.tf).
 provider "minio" {
  minio_server   = var.minio_endpoint
  minio_user     = local.config.rootUser