Cas 1. Vireo : huit personnes, pas d'astreinte

Contexte

Vireo édite un logiciel de gestion vendu en abonnement. Huit personnes, dont un développeur qui consacre la moitié de son temps à l'exploitation. Un seul environnement de production chez un fournisseur cloud unique, une base de données gérée, une trentaine de secrets : clés d'API, identifiants de base, certificats, clés de signature.

Aucune astreinte : le service est réputé disponible aux heures ouvrées, et les incidents nocturnes se traitent le lendemain, ce que les clients acceptent contractuellement.

L'élément déclencheur est un audit demandé par un client important, qui a relevé des identifiants de production dans un dépôt et l'absence de traçabilité des accès.

Contraintes

Pas de compétence Vault dans l'équipe, et personne pour l'acquérir à temps plein. Pas d'astreinte, donc aucune procédure qui suppose la disponibilité de plusieurs personnes la nuit. Budget limité, en licences comme en machines. Et une contrainte moins visible, plus déterminante : le facteur d'autobus est de un. Une seule personne comprend l'infrastructure, et son départ est le risque numéro un de l'entreprise.

Risques principaux

Le premier risque n'est pas technique : c'est d'installer un outil que personne ne saura exploiter, et de remplacer un problème visible par un point de défaillance opaque.

Le deuxième est la perte du matériel de scellement. À huit, une cérémonie de quorum n'a pas de sens, et des parts distribuées à des personnes qui ne comprennent pas ce qu'elles détiennent finissent perdues.

Le troisième est l'illusion de conformité : un Vault installé mais non sauvegardé, non testé et non audité coche une case sans réduire un risque.

Architecture proposée

La première réponse honnête est celle du chapitre 3, et elle doit être donnée avant toute autre : Vault n'est probablement pas nécessaire ici. Un gestionnaire de secrets du fournisseur cloud, couplé à un gestionnaire de mots de passe d'équipe pour les accès humains, couvre l'essentiel du besoin. Les secrets sortent des dépôts, les accès deviennent nominatifs, et l'exploitation ne coûte presque rien. Le critère de bascule se formule à l'avance : l'arrivée d'un second fournisseur, d'une PKI interne, de credentials dynamiques ou d'exigences de souveraineté.

Si la décision est malgré tout prise d'installer Vault, parce que le client l'exige nommément, ce qui arrive, l'architecture doit être taillée pour l'absence d'astreinte.

Un nœud unique, assumé et documenté, plutôt qu'un cluster que personne ne saura diagnostiquer. Un descellement automatique par le service de clés du fournisseur, qui supprime la cérémonie : aucun humain n'est requis pour redémarrer, condition sine qua non d'une exploitation sans astreinte. Des recovery keys confiées à trois personnes de rôles distincts, dont un tiers de confiance externe, avec une note d'une page expliquant à chacun ce qu'il détient. Des snapshots automatisés vers un stockage objet, chiffrés par une clé hors ligne, avec restauration d'épreuve trimestrielle. Un audit vers le service de journalisation du fournisseur, en écriture seule. Côté usage, du KV pour les statiques et des credentials dynamiques pour la base gérée si le fournisseur le permet ; pas de PKI interne, les certificats publics étant obtenus par protocole automatisé.

Choix techniques argumentés

Le descellement automatique est le choix structurant : il échange une dépendance à un tiers contre la suppression du geste humain de reprise. Pour une organisation sans astreinte, cet échange est presque toujours le bon, et le chapitre 22 en a nommé le prix : la politique d'accès du service de clés devient le nouveau quorum.

Le mono-nœud se défend par une comparaison honnête : un cluster de trois nœuds mal compris tombe plus souvent qu'un nœud unique bien sauvegardé, parce que ses modes de panne sont plus nombreux et son diagnostic plus difficile. La disponibilité réelle dépend ici du temps de restauration, pas du nombre de machines.

Le tiers de confiance externe parmi les porteurs traite le facteur d'autobus : il garantit qu'un accident touchant l'équipe ne rend pas l'entreprise incapable d'ouvrir son propre coffre.

Alternatives écartées

Un cluster de trois nœuds : coût d'exploitation sans bénéfice, faute de quelqu'un pour le tenir. Un quorum de Shamir : une cérémonie mobilisant trois personnes sur huit à chaque redémarrage est intenable et sera contournée, le fichier de parts finissant sur un poste. Un service infogéré : envisageable et cohérent, mais il déplace la question du budget. Une PKI interne : sans besoin de mTLS ni de parc interne, elle ajouterait de l'exploitation pour rien.

Compromis assumés

L'indisponibilité en cas de panne matérielle se compte en heures, jusqu'à la restauration : accepté, cohérent avec l'engagement de service.

La dépendance au fournisseur cloud est totale, puisqu'il détient la clé de descellement, le stockage des sauvegardes et l'hébergement : accepté, documenté, avec la remarque que la même dépendance existait déjà pour la base de données.

Le facteur d'autobus reste supérieur à un seulement pour la reprise, pas pour l'exploitation courante. C'est le risque résiduel principal, et la mesure de fond est la documentation, pas la technique.

Stratégie de récupération

RPO d'une heure, RTO d'une demi-journée ouvrée, engagés parce que mesurés lors de la première restauration d'épreuve. Procédure : machine neuve provisionnée, configuration appliquée depuis le dépôt, snapshot déchiffré et restauré, descellement automatique, vérifications.

Le scénario sans reprise est ici la suppression de la clé du service externe : les protections du fournisseur, délai de suppression obligatoire et verrouillage, sont activées le premier jour, et leur vérification figure au calendrier trimestriel.

Questions de discussion

1. À quel moment précis conseilleriez-vous à Vireo de passer du gestionnaire de secrets du fournisseur à Vault ? Formulez trois critères observables.
2. Le tiers de confiance externe détenteur d'une recovery key soulève des questions juridiques et pratiques. Lesquelles, et comment les traiteriez-vous ?
3. L'exploitant unique part sans préavis. Décrivez l'état de l'organisation le lendemain, et ce qui aurait dû être écrit pour que ce départ ne soit pas un incident majeur.