From 911e4b7b1cc412f71f8caf50735bdfd7b0d6a37c Mon Sep 17 00:00:00 2001 From: Gabriel Radureau Date: Thu, 8 Oct 2026 08:35:25 +0200 Subject: [PATCH] =?UTF-8?q?fix(crowdsec)=20=E2=80=94=20plus=20d'enr=C3=B4l?= =?UTF-8?q?ement=20au=20d=C3=A9marrage=20:=20un=20refus=20de=20la=20consol?= =?UTF-8?q?e=20=C3=A9teignait=20tout=20*.arcodange.fr=20(#64)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Co-authored-by: Gabriel Radureau --- crowdsec/values.yaml | 18 +++++++++++------- 1 file changed, 11 insertions(+), 7 deletions(-) diff --git a/crowdsec/values.yaml b/crowdsec/values.yaml index 58bff15..cbeb94c 100644 --- a/crowdsec/values.yaml +++ b/crowdsec/values.yaml @@ -100,13 +100,17 @@ crowdsec: &crowdsec_config valueFrom: fieldRef: fieldPath: metadata.labels['machine-name'] - # To enroll the Security Engine to the console - - name: ENROLL_KEY - value: "cmieq72i3000802jr1wx8kply" - - name: ENROLL_INSTANCE_NAME - value: "homelab" - - name: ENROLL_TAGS - value: "k3s rpi test" + # ⚠ PAS d'ENROLL_KEY ici (retirée le 2026-10-08). Le script de démarrage + # appelle `cscli console enroll` à CHAQUE démarrage quand la clé est posée, + # et un refus de la console (api.crowdsec.net → 403 Forbidden) TUE le + # démarrage : la LAPI boucle en CrashLoopBackOff, le videur de Traefik + # refuse alors TOUT le monde, et tout *.arcodange.fr répond 403 sans corps. + # C'est arrivé le 2026-10-08 à 06:07Z, sur un simple redémarrage déclenché + # par la rotation Vault (rolloutRestartTargets ci-dessus). L'instance est + # déjà enrôlée (l'état vit dans le volume de config) : la ré-enrôler ne + # sert à rien. Pour un enrôlement neuf, le faire UNE fois à la main + # (`cscli console enroll --name homelab ` dans le pod), jamais au + # démarrage — un service tiers ne doit pas pouvoir éteindre la porte. - name: DB_USER valueFrom: secretKeyRef: