> ## Documentation Index
> Fetch the complete documentation index at: https://infra-docs.kaeyros.org/llms.txt
> Use this file to discover all available pages before exploring further.

# Les cinq coffres de secrets utilisés chez Kaeyros

> Tableau récapitulatif des cinq coffres de secrets chez Kaeyros : Vault, Passbolt, Ansible Vault, GitHub Secrets et sealed-secrets. Colonnes : périmètre, consommateurs, rotation.

Kaeyros Analytics utilise cinq systèmes distincts pour gérer ses secrets. Chaque coffre couvre un périmètre précis : applications, infrastructure, pipelines CI/CD, mots de passe humains et fallback Kubernetes. Cette page présente un tableau comparatif pour savoir immédiatement où chercher ou stocker une information sensible.

## Tableau récapitulatif

| Coffre | Périmètre | Consommateurs | Rotation |
| - | - | - | - |
| **Vault** (vault.kaeyros.org) | Secrets applicatifs : credentials base de données, tokens internes, clés API de microservices | Pods Kubernetes via l'opérateur external-secrets et le ClusterSecretStore `vault-backend` | Manuelle ou à la demande, calendrier défini par l'équipe DevOps |
| **Passbolt** (passbolt.kaeyros.org) | Mots de passe humains, kubeconfigs personnels, clés SSH root des serveurs Hetzner, accès aux outils internes | Équipe technique organisée par groupes (DevOps, Développeurs, Data) | Trimestrielle ou à la demande pour les accès sensibles |
| **Ansible Vault** (repo ansible-roles) | Secrets d'infrastructure : adresses IP, credentials serveurs, variables sensibles des playbooks | Playbooks Ansible exécutés depuis le serveur d'outillage | Lors des changements d'infrastructure ou de credentials |
| **GitHub Secrets** | Tokens CI/CD (`GHCR_TOKEN`, `SEMGREP_TOKEN`, `SONAR_TOKEN`), clés API de tests, tokens de déploiement | Workflows GitHub Actions dans chaque dépôt de github.com/kaeyros-analytics-org | Trimestrielle planifiée, calendrier partagé dans le canal d'astreinte |
| **sealed-secrets** (kube-system) | Fallback pour secrets Kubernetes committés directement dans le dépôt argo-production | Contrôleur sealed-secrets dans le namespace `kube-system` | Manuelle, à réaliser lors de la migration vers Vault |

> [!NOTE]
>
> Pour toute question sur la gestion des secrets ou pour demander l'accès à un coffre, contactez l'équipe DevOps à l'adresse [devops@kaeyros-analytics.com](mailto:devops@kaeyros-analytics.com).

## Quand utiliser quel coffre ?

**1. Vous développez une application**

Utilisez **Vault** pour stocker les secrets applicatifs (base de données, tokens internes). Les pods les consomment via external-secrets. Consultez la page [Vault](https://infra-docs.kaeyros.org/securite/vault.md) pour la procédure d'ajout.

**2. Vous avez besoin d'un mot de passe ou d'une clé SSH**

Utilisez **Passbolt** pour les mots de passe des outils internes, les kubeconfigs personnels et les clés SSH root. Consultez la page [Passbolt](https://infra-docs.kaeyros.org/securite/passbolt.md).

**3. Vous modifiez l'infrastructure via Ansible**

Utilisez **Ansible Vault** pour chiffrer les variables sensibles dans le repo `ansible-roles`. Consultez la page [Ansible Vault](https://infra-docs.kaeyros.org/securite/ansible-vault.md).

**4. Vous configurez un pipeline GitHub Actions**

Utilisez **GitHub Secrets** pour les tokens de build, d'analyse de sécurité et de déploiement. Consultez la page [GitHub Secrets](https://infra-docs.kaeyros.org/securite/github-secrets.md).

**5. Vault n'est pas encore prêt pour votre nouvelle app**

Utilisez **sealed-secrets** comme fallback temporaire pour commiter un Secret Kubernetes chiffré. Consultez la page [sealed-secrets](https://infra-docs.kaeyros.org/securite/sealed-secrets.md).


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.