Repository navigation
[deploy] Vérifier la première rotation automatique des clés des buckets (vers le 04/12/2026) #254
Description
Partie de #309.
Contexte
Les clés des buckets de api et sync, créées par le premier tofu apply de production (#71), expirent le 01/02/2027 (durée maximale de 90 jours de l'organisation Scaleway, relevée le 04/11/2026). Sans elles, l'API ne lit plus les instantanés et le job sync ne les écrit plus.
Depuis #308 (05/11/2026), OpenTofu ne les gère plus (blocs removed, la variable key_expiry a disparu avec #314) : le job rotate les remplace dès qu'elles ont plus de 30 jours, donc vers le 04/12/2026. L'ancienne procédure manuelle (tofu apply -var key_expiry=…, republier les secrets GitHub) ne s'applique plus.
À faire, après le premier remplacement (vers le 04/12/2026)
Procédure : docs/deploy.md, « Rotation automatique des clés », étape 4.
- Dans le journal du passage
rotate(Cockpit,{job_definition_name="rotate"}), une lignekey rotationrotatedpourarnakoff-apiet pourarnakoff-sync, avec les clés supprimées. api:/readyzrépond 200 etGET /v1/sourcesmontre des données fraîches ;sync: le passage suivant du job réussit.- Supprimer les anciens secrets GitHub de l'environnement
production, que le déploiement ne lit plus :API_SNAPSHOT_BUCKET_ACCESS_KEY,API_SNAPSHOT_BUCKET_SECRET_KEY,SYNC_SNAPSHOT_BUCKET_ACCESS_KEY,SYNC_SNAPSHOT_BUCKET_SECRET_KEY. - Noter dans [deploy] Job de rotation des clés dans OpenTofu et déploiement sans clés de bucket #308 le temps qu'une nouvelle clé met à lire le bucket.
Repli
Si le job échoue durablement et que l'expiration approche (scw iam api-key list bearer-type=application), remplacer la clé à la main (docs/deploy.md, « En cas d'échec »), au plus tard le 15/01/2027.
Critères d'acceptation
- Les clés des buckets en service sont celles du job, les anciennes supprimées.
- Les quatre secrets GitHub des buckets sont supprimés.
Activity
EnO33 commentedon Nov 5, 2026
Rotation automatique décidée le 05/11/2026 : ADR #306, binaire #307, infrastructure et déploiement #308. Si #308 n'est pas en production le 15/01/2027, cette rotation se fait à la main comme décrit ci-dessus.
EnO33 commentedon Nov 5, 2026
État au 05/11/2026 (relevé par
scw iam api-key list bearer-type=applicationetscw jobs run list) :rotate, chaque jour à 03:10). Elle remplace une clé dès qu'elle a plus de 30 jours.arnakoff-apietarnakoff-sync, créées le 04/11/2026 08:07 UTC, expiration le 01/02/2027. Elles auront 30 jours le 04/12/2026 : le passage de 03:10 du 05/12/2026 les remplacera.rotate: réussi le 05/11/2026 à 14:27 UTC (rotation réelle deci-deploy, déploiement vérifié).La procédure manuelle de cette issue n'est donc plus nécessaire. Reste à faire après la première rotation des clés des buckets (
docs/deploy.md, « Rotation automatique des clés », étape 4) :rotatedpourapietsync;/readyzrépond 200,GET /v1/sourcesmontre des données fraîches et le passage suivant desyncréussit.productionque le déploiement ne lit plus :API_SNAPSHOT_BUCKET_ACCESS_KEY,API_SNAPSHOT_BUCKET_SECRET_KEY,SYNC_SNAPSHOT_BUCKET_ACCESS_KEY,SYNC_SNAPSHOT_BUCKET_SECRET_KEY.En cas d'échec du job (e-mail
JobRunFailed) qui dure jusqu'au 15/01/2027, la procédure manuelle ci-dessus reste le plan de secours.[-][deploy] Faire tourner les clés des buckets de production avant le 01/02/2027[/-][+][deploy] Vérifier la première rotation automatique des clés des buckets (vers le 04/12/2026)[/+]