TP 3. Le moteur KV et le cycle de vie d'un secret

Énoncé de travail pratique

Les commandes ne figurent pas dans les énoncés : elles se construisent à partir du chapitre déclencheur indiqué ci-dessous. Le laboratoire et le livret de corrections ne sont pas encore publiés. Voir les limites du livrable

Chapitre déclencheur : 9. Durée : 1 h.

Objectifs

Manipuler KV version 2 dans toutes ses dimensions : écriture sans exposer la valeur, versions, suppression douce, restauration, destruction définitive, métadonnées, et check-and-set. Constater la distinction entre les chemins de données et les chemins de métadonnées, qui sera exploitée au TP 4.

Prérequis

TP 2 terminé, connexion sous nadia. Chapitre 9 lu.

Étapes

1. Activer et conventionner. Vérifiez que le montage secret/ existe en version 2. Écrivez trois secrets selon la convention du fil rouge : secret/billing/preprod/db, secret/billing/prod/db, secret/billing/prod/payment-api.

2. Écrire sans exposer. Écrivez au moins un de ces secrets sans que la valeur n'apparaisse ni dans la ligne de commande, ni dans l'historique du shell. Vérifiez ensuite votre historique pour le prouver.

3. Versionner. Modifiez deux fois le mot de passe de préproduction. Listez les versions, lisez la version 1, puis la version courante, et observez la structure de la réponse, en particulier l'enveloppe qui contient les données.

4. Supprimer, restaurer, détruire. Supprimez la version 2 en suppression douce, constatez ce que renvoie la lecture, puis restaurez-la. Détruisez ensuite définitivement la version 1 et comparez le résultat des deux opérations.

5. Métadonnées. Posez sur secret/billing/prod/payment-api un propriétaire, une criticité et une échéance de rotation. Relisez les métadonnées sans lire la valeur.

6. Check-and-set. Activez l'exigence de check-and-set sur un secret, puis tentez une écriture sans indiquer la version attendue. Constatez le refus, puis réussissez l'écriture avec la bonne version.

7. Effacer un chemin. Détruisez l'intégralité du secret de préproduction, métadonnées comprises, et constatez que la liste ne le montre plus.

Résultats attendus

Trois secrets écrits selon la convention, dont un sans trace dans l'historique. Une version supprimée puis restaurée, une version détruite définitivement. Des métadonnées lisibles indépendamment des valeurs. Un refus de check-and-set constaté, puis une écriture réussie. Un chemin entièrement effacé.

Erreurs possibles et diagnostic

La lecture renvoie une structure imbriquée déroutante : c'est l'enveloppe de la version 2, et la comprendre maintenant évitera une confusion durable. La suppression semble sans effet : vous avez supprimé une version qui n'était pas la courante. La restauration échoue après destruction : la destruction est définitive, contrairement à la suppression douce ; c'est le but de l'étape. L'écriture avec check-and-set échoue systématiquement : vous indiquez la version que vous voulez écrire au lieu de celle que vous pensez remplacer.

Questions

1. Un secret compromis a été modifié dans Vault. Est-il pour autant sécurisé ? Justifiez en une phrase, en reprenant la formule du chapitre 9.
2. Quelle est la différence pratique entre supprimer une version et détruire un chemin, du point de vue de quelqu'un qui aurait déjà lu la valeur ?
3. Vous avez manipulé deux familles de chemins pendant ce travail pratique. Nommez-les et anticipez la conséquence pour l'écriture des autorisations.