arcodangeandClaude Opus 5
91a0f09b49
Helm Charts / Detect changed charts (pull_request) Successful in 15s
Helm Charts / Detect changed charts (push) Successful in 15s
Helm Charts / Library charts tool (push) Has been cancelled
Helm Charts / Application charts pgcat (push) Has been cancelled
Hashicorp Vault / Auth with gitea for vault (push) Failing after 8m35s
Hashicorp Vault / Tofu - Vault IAC (push) Has been skipped
MinIO / Auth with gitea for vault (pull_request) Failing after 8m32s
MinIO / Tofu - minio IAC (pull_request) Has been skipped
Helm Charts / Library charts tool (pull_request) Has been skipped
Hashicorp Vault / Auth with gitea for vault (pull_request) Failing after 8m36s
Hashicorp Vault / Tofu - Vault IAC (pull_request) Has been skipped
Helm Charts / Application charts pgcat (pull_request) Has been skipped
Retour fondateur : « je pensais que tools#21 contribuerait à app_policy pour une policy kvv2/minio/<app name> ». Il a raison, et mon choix initial était le plus faible des deux. Mon objection — ne donner le droit qu'aux apps qui en ont besoin — ne tient pas à l'examen : la règle porte le NOM de l'app, donc elle ne peut jamais exposer que ses propres clés. Il n'y a aucun privilège à préserver. Une app qui ne stocke rien lit un chemin qui n'existe pas : une règle inerte, pas un droit. Son argument, lui, porte : savoir lire ses propres identifiants de stockage est une propriété de la PLATEFORME, pas une exception par application. Et `kv_read_paths` est documenté comme la trappe pour un secret appartenant à une AUTRE app (les creds GCS de Longhorn pour l'ERP) — y ranger un motif standard l'aurait rendu invisible et aurait obligé à le redéclarer à chaque app. La règle passe donc dans `app_policy`, en prod ET pour chaque instance non-prod (symétrie stricte), sur deux chemins : le document `kvv2/data/minio/<app>` et ses descendants. Un cran plus loin que la demande : la règle est INCONDITIONNELLE, sans drapeau. Conséquence — déclarer un consommateur MinIO se fait désormais à UN SEUL endroit, `var.consumers` du pipeline minio. Aucune synchronisation à tenir entre deux fichiers, donc rien à oublier. Le `kv_read_paths` que j'avais ajouté à kadans est retiré : il faisait double emploi. tofu fmt propre · tofu validate réussi sur hashicorp-vault/iac. Co-Authored-By: Claude Opus 5 (1M context) <[email protected]> Claude-Session: https://claude.ai/code/session_01CoafGWmRVESaWX819USUUA
25 lines
996 B
Terraform
25 lines
996 B
Terraform
locals {
|
|
factory_crowdsec_conf_sa_name = "factory-ansible-tool-crowdsec-traefik-plugin"
|
|
}
|
|
|
|
|
|
data "vault_policy_document" "factory_crowdsec_conf" {
|
|
rule {
|
|
path = "kvv2/data/cms/factory/*" # cms.git//cloudflare/iac.tf
|
|
capabilities = ["read", "list"]
|
|
}
|
|
}
|
|
resource "vault_policy" "factory_crowdsec_conf" {
|
|
name = "factory_crowdsec_conf"
|
|
policy = data.vault_policy_document.factory_crowdsec_conf.hcl
|
|
}
|
|
resource "vault_kubernetes_auth_backend_role" "factory_crowdsec_conf" {
|
|
backend = vault_auth_backend.kubernetes.path
|
|
role_name = "factory_crowdsec_conf"
|
|
bound_service_account_names = [local.factory_crowdsec_conf_sa_name]
|
|
bound_service_account_namespaces = ["kube-system"]
|
|
token_ttl = 3600
|
|
token_policies = ["default", vault_policy.factory_crowdsec_conf.name]
|
|
audience = "vault"
|
|
alias_name_source = "serviceaccount_name"
|
|
} |