Éléments de réponse aux questions de compréhension

Chapitre 27

1. Une communication autorisée entre deux zones, avec source, destination, port, sens, besoin nommé et justification. La matrice rend l'installation auditable parce que « qui peut parler à qui » a une réponse en table, vérifiable contre le réel, et défendable parce que tout flux absent est un refus par défaut.

2. Mono-nœud durci : zéro panne tolérée, promesse d'une reprise et non d'une continuité. Cluster simple : la panne de machine tolérée, l'adresse d'entrée et la perte de site restant ouvertes. Cluster à entrée répartie : l'adresse unique et la bascule invisible, au prix d'un composant à durcir. Multi-clusters répliqués : la réponse aux distances et à la reprise rapide, au prix de deux clusters et d'une réplication à gouverner.

3. L'indisponibilité tolérée et la perte de données tolérée. La direction doit les donner parce qu'ils engagent le métier, pas la technique. Le chapitre 34 leur donnera leurs noms d'exploitation.

4. Consommateurs, qui ne connaissent que l'entrée. Entrée, seule surface touchée. Serveurs, qui ne parlent qu'entre eux, à l'entrée et au gardien. Gardien et administration, le sanctuaire. Observation, qui reçoit tout et n'initie rien. La discipline : les flux vers le bas de la liste se raréfient et se justifient un à un.

5. Le rythme des baux et des logins, chaque émission et chaque token de service étant une écriture engagée à la majorité, les tokens batch faisant exception puisqu'ils ne sont pas persistés. Les opérations Transit, du calcul au rythme applicatif. Le débit d'audit. La taille du stockage, tirée par les objets à cycle de vie. La règle de l'actif unique signifie qu'on dimensionne un serveur : les standbys sont une relève, pas de la capacité, et additionner les cœurs prépare une saturation.

6. Ils délèguent l'administration : des Vault logiques, chacun sous son administrateur, dans un même cluster. Ils ne remplacent jamais des clusters séparés pour l'isolement de destin, puisque panne, version, seal, juridiction et performances restent partagés.

7. Actifs, ce qui a de la valeur précisément. Menaces, qui en veut et avec quels moyens. Frontières, où le niveau de confiance change. Surface, ce qui est atteignable de chaque côté. Contrôles, ce qui est en face, préventif, détectif ou correctif. Risques résiduels, ce qui reste après, nommé, accepté, daté, avec critère de révision. L'ordre compte, chaque colonne préparant la suivante.

8. Parce qu'elle engage : un risque nommé, signé par quelqu'un qui a le droit de l'accepter, daté et muni de son critère, prouve que l'analyse a été menée jusqu'au bout. Une grille sans résiduels ment par omission et disqualifie le dossier plus sûrement qu'une erreur technique.

Mise en pratique du chapitre 27. 1. Une heure d'indisponibilité par an exclut le mono-nœud, une seule restauration la consommant : cluster de trois nœuds sur hôtes distincts, entrée répartie par un répartiteur unique dont la panne se répare en minutes, édition Community. Quinze minutes de perte dimensionnent les sauvegardes : snapshots automatisés à cette période au plus, conservés hors site. La phrase qui manque forcément : le site étant unique, un sinistre de salle impose une restauration hors site et l'indisponibilité dépassera alors l'heure annuelle ; risque accepté par la direction, avec pour critère de révision toute exigence de reprise de site inférieure à quatre heures. 2. Les lignes de l'étape 4 : consommateurs vers le nœud d'entrée provisoire ; les trois nœuds entre eux pour Raft ; les trois nœuds vers le gardien pour le descellement ; l'actif vers la base pour le moteur Database ; le poste d'administration vers les nœuds et le gardien ; tous vers la supervision, en sortant. Plus la ligne provisoire à retirer à l'étape 5, celle qui pointe un nœud nommé. 3. Actifs : la clé d'enveloppe, le stockage du gardien, ses parts, son token de seal, son audit. Menaces : l'administrateur de la zone, l'attaquant en position réseau interne, le voleur du disque, la réunion du stockage du core et d'un accès à la clé. Frontières : le port du gardien, la console de son hôte, le coffre de ses parts. Surface : un port filtré, l'accès distant nominatif, l'hyperviseur. Contrôles : policy de deux chemins, pare-feu, quorum, audit propre, sobriété, séparation des domaines. Résiduels : point unique de la capacité à redémarrer, accepté et supervisé ; l'administrateur d'hyperviseur du sanctuaire, accepté avec liste courte et journalisation.

Chapitre 28

1. Les clients, qui gagnent une adresse stable et des bascules transparentes. La PKI, dont les URL inscrites dans chaque certificat exigeaient un nom pérenne : le chapitre 17 l'avait déjà décidé. L'exploitation, qui gagne un point d'observation et de contrôle du trafic.

2. Terminer : le répartiteur déchiffre et voit tout, tokens, secrets, clairs applicatifs ; il devient l'actif le plus précieux sans les protections de Vault. Re-chiffrer : il voit toujours tout au milieu, et le compromis n'en est pas un. Passer en aveugle : la session va du client au nœud, et le répartiteur ne voit que des métadonnées.

3. La frontière de confidentialité doit s'arrêter sur les nœuds ; tout composant qui voit le clair entre dans cette frontière et doit en payer le prix, durcissement de classe Vault, périmètre et audit. C'est un prix que l'observabilité de confort ne justifie jamais, la télémétrie de Vault voyant tout sans rien exposer.

4. Par sa sonde de routage : l'ancien actif cesse de répondre positivement, le nouveau commence, le répartiteur bascule le trafic. La vitesse dépend de la période de sonde et des seuils, quelques secondes de convergence avec les réglages retenus.

5. Parce que la sonde est un client TLS : sans vérification d'autorité, elle accepterait n'importe quel répondeur comme nœud sain, et un attaquant en position réseau ferait router le trafic vers son imposteur. Les clients le rejetteraient, mais le déni de service serait acquis.

6. Le nom de service, que les clients vérifient à travers l'entrée aveugle. Le nom du nœud, pour les sondes, les jonctions et l'administration directe. L'adresse, pour les accès par IP. L'exception de durée s'explique par le fait que ce certificat sert la machinerie qui renouvelle les autres : marge d'un mois, renouvellement à sept jours, alerte à trois. Elle est bornée par le chapitre 40.

7. Le rechargement des certificats des écouteurs sans redémarrage du processus, donc sans redescellement, sans bascule et sans interruption des sessions. Le renouvellement devient un geste invisible, là où un redémarrage coûterait tout cela pour rien.

8. La disponibilité : couper, ralentir, aiguiller vers un imposteur. Jamais la confidentialité ni l'intégrité des échanges, qu'il ne voit pas. Le contrôle qui rend la posture sûre est la vérification TLS systématique côté client : l'imposteur est démasqué par ceux qui vérifient de bout en bout.

9. La technique : deux répartiteurs, une adresse virtuelle portée par le maître et reprise en une à trois secondes par le second, avec surveillance du pair et de la santé du service local. L'arbitrage : panne courte et réparable, probabilité faible devant les pannes déjà couvertes, coût d'une machine et d'une technologie de plus. Ce qui reste à produire le jour venu : le mode opératoire de déploiement et le scénario de bascule d'entrée à exercer. Le cas 4 de la partie XIV donne le contexte où ce choix s'impose d'emblée, sans en fournir la procédure.

Mise en pratique du chapitre 28. 1. Deux frontends et deux backends. Le premier, pour les écritures, en mode couche 4 vers un backend dont la sonde n'accepte que 200. Le second, pour les lectures, vers un backend listant les cinq nœuds avec une sonde acceptant 200 ou 473, le code des performance standbys ; les standbys ordinaires, qui répondent 429, restent hors trafic. Les clients de lecture pointent l'entrée de lecture, et la documentation dit qui utilise quoi : le partage entre lecture et écriture est une décision applicative, pas un détail réseau. 2. Le minuteur contrôle l'échéance restante et sort silencieusement si elle est lointaine. Il émet sous un token dédié au renouvellement portant une policy d'une règle, écrit les fichiers de façon atomique, vérifie les permissions, recharge le service, puis vérifie la chaîne, le sujet et les dates côté client, et journalise. Échecs : émission impossible, on garde l'ancien certificat encore valide et l'on alerte ; rechargement sans effet constaté, alerte immédiate. Et l'alerte de dernier filet, indépendante du minuteur, détecte l'échéance proche : c'est le contrôle du contrôle. 3. Termination : confidentialité perdue, intégrité menacée puisque requêtes et réponses sont modifiables, disponibilité entre ses mains. Re-chiffrement : identique sur les trois colonnes, le milieu voyant et pouvant toucher. Passage en aveugle : confidentialité intacte, intégrité intacte puisque toute altération casse le TLS de bout en bout, disponibilité seule entre ses mains. La colonne disponibilité, commune aux trois, rappelle que l'entrée se durcit quoi qu'il arrive ; les deux autres font la décision.

Chapitre 29

1. Sept lignes, groupées par besoin. Parce qu'une matrice prouvée par ses seuls flux autorisés n'est prouvée qu'à moitié : le contrat dit aussi ce qui doit échouer, et la recette rejoue des refus choisis pour vérifier que le refus par défaut existe ailleurs que sur le papier.

2. Six parmi : le descellement délégué souverain ; trois nœuds impairs sur hôtes distincts ; le nettoyage automatique borné au quorum nominal ; l'entrée en aveugle ; un token de gardien par machine ; la PKI à deux niveaux avec wildcard interdit ; l'exception de durée bornée ; les secrets dynamiques par défaut ; l'audit en double flux annoncé.

3. Les journaux d'audit, précieux pour ce qu'ils prouvent et dangereux pour ce qu'ils révéleraient. Les schémas et matrices, carte du royaume. Les tokens de seal dans les configurations. Les recovery keys et les parts, deux quorums dormants. Les sauvegardes, stockages complets datés.

4. La sortie vers les cibles, où Vault est client : contrôle principal, le TLS vérifié vers la cible et le moindre privilège du compte de moteur. Et la frontière humaine et hyperviseur, qui ne se dessine pas au pare-feu : contrôle principal, la séparation des domaines d'administration, la paire fatale n'étant jamais réunie en une personne ou une console.

5. Parce qu'il supprime des classes entières d'attaques au lieu de les mitiger : pas de balayage mondial, pas d'exploitation opportuniste d'une vulnérabilité d'écouteur depuis l'extérieur, pas de déni de service public. C'est un contrôle d'architecture, une absence, qui vaut plus que beaucoup de mécanismes.

6. Le répartiteur unique, mitigé par la reconstruction en minutes et le contournement par un nœud, avec pour critère plus d'une panne d'entrée par an ou une exigence sous cinq minutes. Le gardien, point unique de la capacité à redémarrer, mitigé par sa sobriété, sa supervision et sa sauvegarde, avec pour critère la fréquence des redémarrages. Le site unique, mitigé par la partie XI, avec pour critère une exigence de reprise plus courte.

7. Un changement d'un enregistrement DNS, parce que le chapitre 7 avait imposé le nom aux clients, le chapitre 17 l'avait inscrit dans les URL de la PKI, et le chapitre 28 l'avait mis en SAN des nœuds et préparé l'entrée. Vingt-deux chapitres avaient rendu le dernier geste minuscule, ce qui est le critère d'une architecture bien menée.

8. Parce qu'elle a montré une équipe qui sait ce qu'elle n'a pas couvert : cinq risques nommés, signés, avec leurs critères de révision, preuve que les contrôles présentés sont le fruit d'une analyse et non d'un récit. La confiance s'accorde à qui avoue juste, pas à qui promet tout.

9. On compare le réel au contrat : l'annuaire du cluster et la liste des montages contre le dossier, les règles de pare-feu contre la matrice, un balayage de ports depuis chaque zone contre les flux attendus, refus compris. Les divergences se corrigent ou se promeuvent : une exception devenue nécessaire entre au dossier comme ligne assumée.

Mise en pratique du chapitre 29. 1. Les deux actifs manquants sont les certificats et clés privées des nœuds, renouvelés chaque mois : leur vol permet l'imposture du service entier ; contrôles par permissions strictes, renouvellement court et émission tracée ; résiduel, la clé vit sur le disque du nœud, dans une frontière déjà durcie. Et les parts et recovery keys dans leurs coffres, dormantes, dont la valeur est totale à l'échelle de leur époque ; contrôles par chiffrement à la naissance, dispersion physique, registre des époques et vérification annuelle ; résiduel, la collusion au seuil, acceptée par construction. 2. Lignes nouvelles : le cluster Kubernetes vers l'entrée, pour la méthode d'authentification et les secrets des pods ; et l'actif Vault vers l'API du cluster, pour la validation des jetons et le moteur de secrets. La frontière de sortie gagne une ligne, avec TLS vérifié et compte de service minimal. Lignes modifiées : aucune côté zones existantes, et c'est le bénéfice de l'entrée unique. Refus à tester : un pod vers un nœud en direct, un pod vers le gardien, le cluster vers la base hors des flux déclarés. 3. Le risque est nommé, pas nié. Son impact est borné à l'entrée, jamais aux données ni au cluster, et toute porte reste valide en contournement documenté. Sa durée est bornée par une reconstruction en minutes, testée. Sa probabilité est faible devant les pannes de nœuds, qui sont couvertes par une relève mesurée. Son acceptation est signée, datée, et porte un critère de révision public. Le jour où le critère tombe, l'évolution est déjà écrite et exercée sur table. Un risque tenu ainsi n'est pas une faiblesse de l'architecture : c'est la preuve qu'elle est gouvernée. Nous préférons un point unique avoué et instrumenté à une redondance déployée sans besoin, sans exercice et sans propriétaire.