Synthèse de la partie XIII

Trois chapitres pour faire entrer Vault dans les environnements réels, avec la même règle à chaque fois : l'intégration se juge à la frontière de confiance qu'elle déplace, pas au confort qu'elle procure.

Le chapitre 38 a détaillé la méthode Kubernetes et ses trois contrôles, compte de service, namespace et audience, puis comparé les voies de consommation dans les pods sans esquiver la question qui fâche : l'opérateur de synchronisation, le plus agréable pour les équipes, copie le secret hors de la barrière, où la révocation ne reprend plus rien. Il a arbitré l'hébergement de Vault en dehors du cluster qu'il sert, traité le cas des accès administratifs par le moteur de secrets, et rappelé que les variables d'environnement de conteneur restent le mauvais transport qu'elles étaient au chapitre 1.

Le chapitre 39 a posé la règle qui sauve les descriptions en code, la structure et jamais les valeurs, parce que l'état devient un coffre secondaire. Puis il a exécuté la promesse du chapitre 10 : une chaîne d'intégration continue sans aucun secret statique, où le jeton d'identité du fournisseur, borné par un sujet, une audience et quinze minutes, remplace la clé partagée. Les droits du pipeline suivent trois principes, dont celui qui évite le plus d'erreurs : un pipeline n'a presque jamais besoin de lire un secret de production.

Le chapitre 40 est revenu à l'application et a conclu le chantier commencé au chapitre 13 : la délégation à l'agent, les gabarits, le rechargement sans coupure, la rotation invisible, et les quatre modes de défaillance traités explicitement plutôt que découverts en incident. Il a soldé l'exception de durée ouverte au chapitre 28, ce qui referme la dernière dette technique du fil rouge.

Le système est complet, et le cursus change maintenant de registre. Il ne s'agit plus de construire mais de transférer : la partie XIV présente des études de cas où les acquis doivent servir dans des contextes qui ne sont pas Astrea, avec leurs contraintes propres et des solutions qui ne seront pas toujours celles du fil rouge.