Éléments de réponse aux questions de compréhension
Chapitre 24¶
1. Il supprime le backend externe, un second système distribué à installer, durcir, superviser et sauvegarder, au profit d'une réplication entre nœuds Vault. La propriété qui tombe naturellement : les données ne quittent jamais la barrière, ce qui circule entre nœuds étant le chiffré du chapitre 6.
2. L'écriture concurrente sur deux nœuds, et la partition réseau où chaque moitié accepte des écritures, donc deux passés incompatibles, fatals à un système de secrets. Le prix : sans majorité joignable, le système s'arrête d'écrire plutôt que de diverger. C'est la bonne moitié du dilemme pour un coffre.
3. Le leader reçoit les écritures, les ajoute au journal ordonné et les diffuse ; une entrée est engagée quand une majorité l'a écrite durablement, et alors seulement elle est acquittée puis appliquée. Les followers répliquent et attestent, rassurés par les battements de cœur. Le candidat est la transition : silence du leader, incrément du terme, sollicitation des votes, majorité, leader.
4. Le terme est l'horloge logique qui départage les histoires et invalide les prétentions périmées. Les garde-fous : une voix par terme et par nœud, et aucun vote pour un candidat dont le journal est en retard. Le nouvel élu possède donc toutes les entrées engagées.
5. La majorité est la moitié plus un. Deux nœuds : une perte arrête tout, pire qu'un mono-nœud pour deux fois le coût. Trois : une perte tolérée, l'optimum d'entrée. Quatre : une seule perte tolérée comme trois, avec une machine de plus en coût et en probabilité de panne. Cinq : deux pertes tolérées, pour les exigences supérieures.
6. Parce que Raft échange en permanence battements de cœur, votes et réplication : la latence inter-sites ralentit chaque écriture et provoque des élections intempestives. La réponse aux distances est la réplication entre clusters, chacun local et sain.
7. L'une est l'adresse à laquelle le nœud se déclare joignable pour l'API des clients, et elle sert aux redirections. L'autre est son adresse de trafic inter-nœuds, pour la réplication, les votes et la transmission. Le TLS du port de cluster est géré par Vault lui-même, sans provisionnement, mais le flux se restreint au pare-feu, entre nœuds seulement.
8. Chaque nœud détient la copie complète du stockage chiffré, plus le journal. Bonne conséquence : tout survivant suffit à reconstruire le service. Sérieuse : chaque disque est le coffre entier, et le principe des copies passées s'applique à chaque disque sorti. Structurante : rejoindre, c'est recevoir la copie, dont la lecture exige le seal ; l'adhésion se garde par le pare-feu, la garde du seal et la surveillance des pairs.
Mise en pratique du chapitre 24. 1. Laboratoire de dix personnes : un nœud, la haute disponibilité ne se justifiant pas pour un environnement d'apprentissage, et la discipline s'apprenant mieux petite. Phrase : la disponibilité exigée est celle des horaires ouvrés, un mono-nœud sauvegardé la fournit. Astrea : trois nœuds sur trois hôtes distincts, même zone à faible latence. Phrase : tolérance d'une panne de machine ou d'hôte, le sinistre de site relevant du plan de reprise. Groupe à tolérance de deux pannes : cinq nœuds répartis sur des domaines de panne distincts dans un même périmètre de latence. Phrase : majorité à trois, deux pertes simultanées absorbées, l'inter-sites relevant de la réplication et non de l'étirement du quorum. 2. Le fichier reprend le chapitre 7 pour l'écouteur et le durcissement, le chapitre 23 pour la strophe de seal avec le token propre au nœud et la vérification d'autorité, et la section 24.5 pour le stockage, l'identité, les deux jonctions vérifiées, les deux adresses annoncées et la consigne mémoire, avec l'échange désactivé hors fichier. 3. Le disque contient la copie intégrale du stockage, chiffrée par la barrière, plus le journal de réplication chiffré de même. Un voleur n'en lit pas un octet : il lui manque la clé racine, gardée par le seal. Pour lire, il devrait réunir ce disque et un accès de déchiffrement au gardien de l'époque du disque, la paire que l'architecture sépare par zones, machines et administrations distinctes. C'est pourquoi chaque disque se traite comme le coffre : chiffrement de volume en dessous, destruction attestée à la réforme, registre des copies. La date compte, le disque restant ouvrable par le matériel de scellement de son époque. Trois mots pour l'auditeur : illisible seul, précieux quand même, tracé toujours.
Chapitre 25¶
1. La liste des pairs donne l'annuaire, avec la colonne des votants, décisive puisque seuls les votants comptent dans la majorité. L'état de l'autopilot donne le bulletin de santé, verdict global et, par nœud, dernier contact, retard de journal et stabilisation. C'est la lecture qui précède toute hypothèse quand quelque chose est lent.
2. Un nœud qui rejoint ne s'initialise jamais. L'initialisation crée un cluster neuf, avec une clé racine neuve et une histoire vide : exécutée sur une machine destinée à rejoindre, elle fabrique un second cluster parallèle avec son propre seal, invisible du premier. Le nœud entrant ne connaît que la jonction et le descellement du cluster.
3. Sous seal automatique, le nœud rejoint puis se descelle seul auprès du gardien, sans intervention. Sous Shamir, il rejoint scellé, et le quorum existant saisit ses parts sur ce nœud : les parts ne gardent pas une machine, elles gardent la clé racine du cluster, identique partout. Il n'existe pas de clés propres à un nœud.
4. Parce que le cluster compte les voix : éteindre avant de retirer laisse un fantôme, l'annuaire ment et la tolérance affichée est fausse. Après un retrait sur un cluster de trois, il reste deux votants et une majorité à deux : le service tient mais ne tolère plus aucune panne jusqu'au remplacement.
5. C'est une copie complète et datée du coffre, chiffrée, et un déchet matériel. Traitements acceptables : destruction attestée, ou conservation sous le régime des sauvegardes, avec garde, séparation du matériel de scellement et inventaire des époques. Jamais l'étagère au cas où.
6. Le nettoyage des membres silencieux, le seuil de silence qui vaut mort, le plancher de votants sous lequel l'automate ne descend jamais, et le délai d'observation avant droit de vote. Le couple à régler ensemble est le seuil de contact et le plancher : un nettoyage sans plancher éjecte des nœuds sains un jour de réseau lent.
7. Les objets à cycle de vie : les baux d'un moteur mal calibré, les certificats stockés d'une PKI sans entretien, les tokens de service immortels. Rarement KV. À ne pas confondre : les instantanés internes de Raft, compactage automatique invisible, et les snapshots de sauvegarde, geste d'exploitation produisant un fichier qu'on emporte.
8. Standbys d'abord, un à la fois, avec arrêt, remplacement du binaire, démarrage, descellement et santé constatée. Puis cession de la main sur l'actif, qui se met à jour devenu standby. Les trois disciplines : un nœud à la fois, le mélange de versions qui se traverse sans s'habiter, et le retour préparé.
Mise en pratique du chapitre 25. 1. Constats : supervision, liste des pairs, état de l'autopilot, cause matérielle confirmée. Décision consignée : remplacement, sans attendre le nettoyage automatique. Retrait du pair, annuaire vérifié, registre notant que la tolérance est consommée. Reconstruction : machine neuve par la gestion de configuration, répertoire vide, même identité, token de seal propre régénéré sur le gardien, l'ancien révoqué puisque la machine morte ne redémarrera nulle part. Retour : démarrage, jonction, descellement constaté, stabilisation, voix retrouvée, motif de santé nominal. Sort du matériel : destruction attestée, ligne de registre citant le chapitre 21. 2. Le nettoyage activé range seuls les fantômes des pannes franches et prévient l'annuaire menteur. Le seuil de dix minutes est assez long pour survivre à un incident réseau court ou un redémarrage lent, et prévient l'éjection d'un nœud sain. Le plancher au nominal empêche l'automate de rétrécir le cluster, tout retrait en dessous redevenant humain. Le délai de stabilisation fait qu'une voix ne compte qu'entendue stable, et prévient le vote d'un nœud qui clignote. 3. Préparation : notes de version lues, binaire vérifié, sauvegarde récente contrôlée, fenêtre calme annoncée, binaire précédent conservé. Ordre : les deux standbys l'un après l'autre, puis cession de la main sur l'actif, bascule constatée, et l'ancien actif en dernier. Vérifications entre nœuds : trois votants, motif nominal, aucune élection parasite, version relevée par nœud. Abandon : un nœud qui ne revient pas sain, auquel cas on s'arrête à deux versions cohabitantes et l'on diagnostique, sans jamais continuer à un votant de moins. Retour arrière : binaire précédent sur le nœud fautif tant que la version n'a pas écrit de format nouveau, sauvegarde en dernier recours.
Chapitre 26¶
1. Parce que toutes les écritures doivent passer par le leader pour qu'il n'existe qu'une histoire, et le stockage intégré unifie leader Raft et nœud actif : une seule élection désigne les deux, donc une seule mécanique de bascule. Les standbys sont une relève descellée et à jour, pas un partage de charge.
2. Le standby relaie la requête à l'actif par le port de cluster et rend la réponse, sans que le client voie rien : toute porte du cluster est valide. Le prix est un saut réseau et la dépendance au port ouvert vers l'actif. L'alternative, la redirection vers l'adresse annoncée de l'actif, exige des clients capables de suivre.
3. Le motif nominal est un actif et deux standbys sains. Trois motifs anormaux : un code de scellement dans le motif, signe qu'un nœud a redémarré sans se desceller et que la relève est amputée en silence ; deux injoignables, le service tenant sur le dernier avec une tolérance nulle ; et trois codes standby, donc aucun actif, incident majeur.
4. Garanti : aucune écriture acquittée n'est perdue, le nouvel élu ayant tout le journal engagé. Non garanti : les requêtes en vol échouent, et le client ignore si l'écriture est passée juste avant la mort. Doctrine cliente : réessayer, les lectures toujours et les écritures avec discernement, en relisant avant de réécrire et en nettoyant le doublon bénin.
5. Des bascules répétées sans cause volontaire. Jamais un bruit de fond parce qu'il y a toujours une cause : actif à bout de ressources, réseau qui perd des battements de cœur, horloge qui dérive, hôte qui fige. La supervision compte les élections, et l'excès ouvre un ticket.
6. Chaque nœud a sa mémoire, donc sa clé racine à faire renaître : un nœud redémarré rejoint scellé, et un standby scellé n'est ni une relève ni une voix utile. Sous Shamir, autant de cérémonies que de nœuds redémarrés. Sous Transit Seal, chaque nœud se descelle seul et les redémarrages collectifs deviennent des non-événements.
7. Pour que l'audit du gardien dise quelle machine descelle, et pour que la compromission d'un nœud se réponde en révoquant son token seul, sans toucher les gardiens des deux autres. C'est la partie IV appliquée aux machines.
8. Les performance standbys servent eux-mêmes les lectures, seules les écritures remontant à l'actif : la relève devient aussi mise à l'échelle horizontale, avec un code de santé dédié pour les répartiteurs. En édition Community, un seul nœud sert et la capacité se dimensionne sur lui seul.
9. La conjonction des parties VII et VIII : la jonction déclarée fait entrer, le Transit Seal descelle sans personne, la stabilisation accorde la voix. Trois commandes, aucun humain, aucune part. La dette au registre : trois portes d'entrée et pas d'adresse unique répartie, l'entrée propre étant l'étape 5.
Mise en pratique du chapitre 26. 1. Sonde de routage, qui demande qui est l'actif : le point de santé sans paramètre, toutes les deux à cinq secondes ; le code actif fait router, tous les autres non. L'interprétation stricte fait du répartiteur un suiveur d'élection, qui converge vers le nouvel actif au rythme de la sonde. Sonde de santé, qui demande qui est sain : le même point avec l'option qui accepte les standbys, à période plus lente ; un code positif signale un nœud sain quel que soit son rôle, un code de scellement déclenche une alerte dédiée, et l'injoignabilité une panne. Deux questions, deux sondes : les confondre est l'erreur classique des intégrations. 2. Pré-vol : motif nominal, aucune élection récente, sauvegarde vérifiée, fenêtre annoncée. Étapes : mise à jour des deux standbys d'abord, puis cession de la main sur l'actif, constat de l'élection en secondes, arrêt du service, remplacement du binaire, démarrage, descellement constaté, stabilisation, voix retrouvée. Motif final et versions relevés, registre. Abandon : pas d'élection après la cession, anomalie majeure où l'on n'éteint rien tant qu'aucun actif n'est confirmé ; ou un nœud qui ne revient pas sain, auquel cas on gèle toute autre opération. 3. Bascule de neuf secondes : billing voit quelques erreurs que ses réessais absorbent, et n'a rien d'autre à faire s'il suit la doctrine ; l'équipe vérifie le compteur d'élections et la cause si elle n'était pas volontaire. Actif saturé à trois secondes de latence : les baux se renouvellent encore grâce à la marge, mais les démarrages traînent et les délais d'attente applicatifs menacent ; l'application ne doit ni raccourcir ses délais ni marteler, et l'équipe traite la cause avant que la lenteur ne devienne du flapping. Perte de deux nœuds : plus de majorité, donc plus d'écritures, de logins ni d'émissions ; les credentials déjà émis vivent jusqu'à leur échéance, donc billing en régime établi tient un moment mais tout démarrage échoue. L'application applique sa stratégie d'indisponibilité, et l'équipe est en incident majeur : restaurer une machine pour retrouver la majorité, ou passer au chapitre 35 si elles sont irrécupérables.