Repository navigation
[deploy] ÉPIC — Rotation automatique des clés #309
Description
Constat
Les clés API Scaleway durent au plus 90 jours (réglage de l'organisation) et la clé de ci-deploy 30 jours. Jusqu'au 05/11/2026, elles étaient renouvelées à la main : une échéance manquée coupait la lecture des instantanés (#254) ou bloquait tout déploiement (#238). Scaleway ne propose ni fédération OIDC pour GitHub Actions ni identité de charge de travail sans clé (vérifié le 05/11/2026, scw 2.65.2).
Principe
- Le job Scaleway privé
rotate(cmd/rotate,deploy/tofu/rotate.tf) remplace chaque jour à 03:10 les clés dearnakoff-api,arnakoff-sync,arnakoff-mail(ajoutée par [deploy] Envoyer les e-mails par Scaleway TEM, géré dans OpenTofu #295),ci-deploy(écrite dans GitHub par la GitHub Apparnakoff-rotate) et la sienne, dès que l'une a plus de 30 jours. - L'exception au moindre privilège qu'il demande (
IAMApplicationManager, portée organisation) et ses garde-fous sont consignés dans l'ADR 0007. - Une seule action manuelle, l'amorçage (
docs/deploy.md, « Rotation automatique des clés ») : faite le 05/11/2026. Ensuite, le propriétaire n'agit que sur alerte (JobRunFailed, alertes Audit Trail).
État au 06/11/2026
- ADR 0007 ([deploy] ADR 0007 — rotation automatique des clés Scaleway (buckets et ci-deploy) #306), binaire ([deploy] Binaire de rotation des clés des buckets, de ci-deploy et de sa propre clé #307), job dans OpenTofu et déploiement sans clés de bucket ([deploy] Job de rotation des clés dans OpenTofu et déploiement sans clés de bucket #308).
- Amorçage fait et job en production (0.59.1) le 05/11/2026 ; première rotation réelle de
ci-deployle 05/11/2026, déploiement suivant réussi ([deploy] Rotation de la clé Scaleway de la CI avant son expiration #238 fermée). - Clé
arnakoff-mailsous rotation depuis 0.60.1 ([deploy] Envoyer les e-mails par Scaleway TEM, géré dans OpenTofu #295). - Première rotation des clés des buckets de
apietsync, attendue vers le 04/12/2026, puis suppression des anciens secrets GitHub ([deploy] Vérifier la première rotation automatique des clés des buckets (vers le 04/12/2026) #254). - Réessai des appels Scaleway du job sur 429 et 5xx, pour éviter les alertes sans objet ([platform] Réessayer les appels Scaleway du job rotate sur 429 et 5xx #312).
Activity
docs(docs): decide the automatic rotation of the scaleway keys in adr…
feat(app): rotate the scaleway keys of the buckets, the ci and the ro…
fix(app): rotate a key close to its expiry, and sync before api (#315)
feat(ci): run the key rotation job and stop deploying the bucket keys (…
fix(registry): send the organization when the rotation job lists keys (…
docs(docs): renew the owner's scaleway key by hand with scw login (#318)
fix(platform): retry the idempotent scaleway calls of the rotate job (#…