Synthèse de la partie VI

Le grand saut est fait. Le chapitre 18 a changé la nature du secret, acte de création plutôt que valeur conservée, et posé les disciplines qui rendent la fabrique sûre : compte racine au moindre privilège, tourné et doublé d'un secours hors Vault, instructions relues comme des policies, grille décidée par système et consignée. Le chapitre 19 a déroulé la grammaire sur six cibles, et la journée de bascule a rendu deux constats sans objet quand un troisième était soldé par changement de modèle.

Le compte final de l'état des lieux, sept constats sur sept.

1. Le mot de passe commité et jamais changé : disparu en tant que catégorie, chaque instance recevant le sien.
2. Le même mot de passe en production et préproduction : disparu pour la même raison.
3. Le secret en variable d'environnement systemd : remplacé par la lecture à l'exécution sous AppRole.
4. La clé de paiement dans les journaux de CI : transformée par l'authentification fédérée, sans secret stocké.
5. Le wildcard TLS partagé : interdit par construction dans le rôle PKI.
6. La clé SSH d'astreinte : remplacée par des certificats de trente minutes, nominatifs.
7. La clé de sauvegarde dans le script : extraite par le chiffrement d'enveloppe.

Ce qui reste n'est pas rien, et c'est le programme des parties suivantes : le serveur qui porte tout cela est un mono-nœud descellé à la main, au TLS de laboratoire, sans sauvegarde éprouvée. La partie VII s'attaque au premier chantier, le scellement en profondeur.