Les cinq coffres de secrets utilisés chez Kaeyros

Kaeyros Analytics utilise cinq systèmes distincts pour gérer ses secrets. Chaque coffre couvre un périmètre précis : applications, infrastructure, pipelines CI/CD, mots de passe humains et fallback Kubernetes. Cette page présente un tableau comparatif pour savoir immédiatement où chercher ou stocker une information sensible.

Tableau récapitulatif

Coffre	Périmètre	Consommateurs	Rotation
Vault (vault.kaeyros.org)	Secrets applicatifs : credentials base de données, tokens internes, clés API de microservices	Pods Kubernetes via l’opérateur external-secrets et le ClusterSecretStore `vault-backend`	Manuelle ou à la demande, calendrier défini par l’équipe DevOps
Passbolt (passbolt.kaeyros.org)	Mots de passe humains, kubeconfigs personnels, clés SSH root des serveurs Hetzner, accès aux outils internes	Équipe technique organisée par groupes (DevOps, Développeurs, Data)	Trimestrielle ou à la demande pour les accès sensibles
Ansible Vault (repo ansible-roles)	Secrets d’infrastructure : adresses IP, credentials serveurs, variables sensibles des playbooks	Playbooks Ansible exécutés depuis le serveur d’outillage	Lors des changements d’infrastructure ou de credentials
GitHub Secrets	Tokens CI/CD (`GHCR_TOKEN`, `SEMGREP_TOKEN`, `SONAR_TOKEN`), clés API de tests, tokens de déploiement	Workflows GitHub Actions dans chaque dépôt de github.com/kaeyros-analytics-org	Trimestrielle planifiée, calendrier partagé dans le canal d’astreinte
sealed-secrets (kube-system)	Fallback pour secrets Kubernetes committés directement dans le dépôt argo-production	Contrôleur sealed-secrets dans le namespace `kube-system`	Manuelle, à réaliser lors de la migration vers Vault

Pour toute question sur la gestion des secrets ou pour demander l’accès à un coffre, contactez l’équipe DevOps à l’adresse devops@kaeyros-analytics.com.

Quand utiliser quel coffre ?

Vous développez une application

Utilisez Vault pour stocker les secrets applicatifs (base de données, tokens internes). Les pods les consomment via external-secrets. Consultez la page Vault pour la procédure d’ajout.

Vous avez besoin d'un mot de passe ou d'une clé SSH

Utilisez Passbolt pour les mots de passe des outils internes, les kubeconfigs personnels et les clés SSH root. Consultez la page Passbolt.

Vous modifiez l'infrastructure via Ansible

Utilisez Ansible Vault pour chiffrer les variables sensibles dans le repo ansible-roles. Consultez la page Ansible Vault.

Vous configurez un pipeline GitHub Actions

Utilisez GitHub Secrets pour les tokens de build, d’analyse de sécurité et de déploiement. Consultez la page GitHub Secrets.

Vault n'est pas encore prêt pour votre nouvelle app

Utilisez sealed-secrets comme fallback temporaire pour commiter un Secret Kubernetes chiffré. Consultez la page sealed-secrets.

Secrets

Accès et RBAC

Pentest et audit

Tableau récapitulatif

Quand utiliser quel coffre ?

​Tableau récapitulatif

​Quand utiliser quel coffre ?

Tableau récapitulatif

Quand utiliser quel coffre ?