refactor(vault) — lire ses identifiants MinIO devient une propriété de la plateforme

Retour fondateur : « je pensais que tools#21 contribuerait à app_policy pour une policy kvv2/minio/<app name> ». Il a raison, et mon choix initial était le plus faible des deux. Mon objection — ne donner le droit qu'aux apps qui en ont besoin — ne tient pas à l'examen : la règle porte le NOM de l'app, donc elle ne peut jamais exposer que ses propres clés. Il n'y a aucun privilège à préserver. Une app qui ne stocke rien lit un chemin qui n'existe pas : une règle inerte, pas un droit. Son argument, lui, porte : savoir lire ses propres identifiants de stockage est une propriété de la PLATEFORME, pas une exception par application. Et `kv_read_paths` est documenté comme la trappe pour un secret appartenant à une AUTRE app (les creds GCS de Longhorn pour l'ERP) — y ranger un motif standard l'aurait rendu invisible et aurait obligé à le redéclarer à chaque app. La règle passe donc dans `app_policy`, en prod ET pour chaque instance non-prod (symétrie stricte), sur deux chemins : le document `kvv2/data/minio/<app>` et ses descendants. Un cran plus loin que la demande : la règle est INCONDITIONNELLE, sans drapeau. Conséquence — déclarer un consommateur MinIO se fait désormais à UN SEUL endroit, `var.consumers` du pipeline minio. Aucune synchronisation à tenir entre deux fichiers, donc rien à oublier. Le `kv_read_paths` que j'avais ajouté à kadans est retiré : il faisait double emploi. tofu fmt propre · tofu validate réussi sur hashicorp-vault/iac. Co-Authored-By: Claude Opus 5 (1M context) <[email protected]> Claude-Session: https://claude.ai/code/session_01CoafGWmRVESaWX819USUUA
2026-07-26 09:26:05 +02:00
parent 4ca4a05370
commit 91a0f09b49
4 changed files with 48 additions and 16 deletions
@@ -24,13 +24,5 @@ applications = [
    service_account_namespaces = ["tools"]
  },
  { name = "prospection" },
-  {
-    name = "kadans"
-    # Le pod lit les clés de SON compte de service MinIO, écrites par le pipeline
-    # `minio` dans son propre espace (minio/iac/consumers.tf). Le mécanisme est
-    # celui qui existait déjà pour l'ERP et les creds GCS de Longhorn — aucun
-    # module central n'a eu à changer. Le root de MinIO, lui, ne sort jamais du
-    # pipeline minio : l'app ne reçoit qu'une clé bornée à son bucket.
-    kv_read_paths = ["kvv2/data/minio/kadans"]
-  },
+  { name = "kadans" },
 ]