docs(minio) — le raisonnement part dans l'ADR, le code garde ce qui protège

Les décisions de conception (qui déclare, qui détient, pourquoi les octets ne passent pas par l'API) vivent désormais dans `factory/doc/adr/20260726-stockage-objet-minio.md`. Le code ne garde que ce qu'un relecteur ne peut pas deviner et qui l'empêcherait de casser quelque chose : l'absence VOLONTAIRE de s3:GetObject/PutObject dans la politique du provisionneur, l'absence VOLONTAIRE de basic-auth sur l'ingress S3, le caractère inconditionnel de la règle Vault, et l'avertissement sur les noms d'actions MinIO non éprouvés. Chaque fichier pointe l'ADR. 283 → 230 lignes sur minio/iac. tofu fmt propre, tofu validate réussi sur les deux racines. Co-Authored-By: Claude Opus 5 (1M context) <[email protected]> Claude-Session: https://claude.ai/code/session_01CoafGWmRVESaWX819USUUA
2026-07-26 10:19:28 +02:00
parent ec71571b98
commit 7074a94d7e
9 changed files with 43 additions and 125 deletions
@@ -61,11 +61,9 @@ minio: &minio_config
  # Buckets créés au déploiement. `versioning: false` assumé : ces objets sont
  # DÉRIVÉS et re-générables depuis le master local — versionner doublerait le
  # stockage pour un filet dont on n'a pas besoin.
-  # AUCUN bucket ici : chaque application déclare LES SIENS depuis son propre
-  # dépôt, via le module `iac/modules/minio_app` (fondateur 2026-07-26 : « on ne
-  # va pas modifier le repo tools à chaque changement d'application, chacun son
-  # périmètre »). `tools` fournit le serveur, le provisionneur et le module —
-  # pas la liste.
+  # AUCUN bucket ici : chaque app déclare les siens depuis son dépôt, via le
+  # module `iac/modules/minio_app`.
+  # ADR : factory/doc/adr/20260726-stockage-objet-minio.md
  buckets: []

  # Métriques : Prometheus (namespace `tools`) scrape déjà la façade et le
@@ -75,13 +73,8 @@ minio: &minio_config
      enabled: false # pas d'opérateur Prometheus ici : scrape par annotation
  environment:
    MINIO_PROMETHEUS_AUTH_TYPE: "public"
-    # CORS : le navigateur téléverse DIRECTEMENT vers MinIO depuis la PWA (URL
-    # présignées, kadans-api#23) — donc requête inter-origines, donc préflight
-    # OPTIONS. Sans cette liste, le PUT est refusé par le navigateur avant même
-    # de partir. Origines EXACTES, jamais « * » : une URL présignée qui fuite
-    # serait rejouable depuis n'importe quel site.
-    #   .fr  = la PWA publique (le cas réel, en déplacement comme à la maison)
-    #   .lab = la même app servie en interne, pour la mise au point
+    # CORS : le navigateur téléverse directement (URL présignées) — origines
+    # EXACTES, jamais « * » : une URL qui fuite serait sinon rejouable partout.
    MINIO_API_CORS_ALLOW_ORIGIN: "https://kadans.arcodange.fr,https://kadans.arcodange.lab"

 tool: