From 755583f9dccf60f0285bcea81de2b90c4b8851a0 Mon Sep 17 00:00:00 2001 From: Gabriel Radureau Date: Thu, 8 Oct 2026 08:26:58 +0200 Subject: [PATCH] =?UTF-8?q?fix(crowdsec)=20=E2=80=94=20plus=20d'enr=C3=B4l?= =?UTF-8?q?ement=20au=20d=C3=A9marrage=20:=20un=20refus=20de=20la=20consol?= =?UTF-8?q?e=20=C3=A9teignait=20tout=20*.arcodange.fr?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Le 2026-10-08 à 06:07Z, la rotation Vault a redémarré la LAPI (rolloutRestartTargets) ; le script de démarrage a rappelé `cscli console enroll`, api.crowdsec.net a répondu 403 Forbidden, la LAPI a bouclé en CrashLoopBackOff et le videur de Traefik a refusé tout le monde (403 sans corps sur kadans, gitea…). L'instance est déjà enrôlée : on retire ENROLL_KEY/NAME/TAGS du démarrage. Co-Authored-By: Claude Opus 5.5 --- crowdsec/values.yaml | 18 +++++++++++------- 1 file changed, 11 insertions(+), 7 deletions(-) diff --git a/crowdsec/values.yaml b/crowdsec/values.yaml index 58bff15..cbeb94c 100644 --- a/crowdsec/values.yaml +++ b/crowdsec/values.yaml @@ -100,13 +100,17 @@ crowdsec: &crowdsec_config valueFrom: fieldRef: fieldPath: metadata.labels['machine-name'] - # To enroll the Security Engine to the console - - name: ENROLL_KEY - value: "cmieq72i3000802jr1wx8kply" - - name: ENROLL_INSTANCE_NAME - value: "homelab" - - name: ENROLL_TAGS - value: "k3s rpi test" + # ⚠ PAS d'ENROLL_KEY ici (retirée le 2026-10-08). Le script de démarrage + # appelle `cscli console enroll` à CHAQUE démarrage quand la clé est posée, + # et un refus de la console (api.crowdsec.net → 403 Forbidden) TUE le + # démarrage : la LAPI boucle en CrashLoopBackOff, le videur de Traefik + # refuse alors TOUT le monde, et tout *.arcodange.fr répond 403 sans corps. + # C'est arrivé le 2026-10-08 à 06:07Z, sur un simple redémarrage déclenché + # par la rotation Vault (rolloutRestartTargets ci-dessus). L'instance est + # déjà enrôlée (l'état vit dans le volume de config) : la ré-enrôler ne + # sert à rien. Pour un enrôlement neuf, le faire UNE fois à la main + # (`cscli console enroll --name homelab ` dans le pod), jamais au + # démarrage — un service tiers ne doit pas pouvoir éteindre la porte. - name: DB_USER valueFrom: secretKeyRef: -- 2.54.0