Éléments de réponse aux questions de discussion

Ces questions appellent des réponses argumentées plutôt qu'exactes. Les repères ci-dessous indiquent ce qu'une bonne réponse doit contenir, sans prétendre l'épuiser.

Cas 1. Critères de bascule vers Vault : apparition d'un second fournisseur ou d'une infrastructure hors cloud ; besoin de credentials dynamiques ou de PKI interne ; exigence contractuelle nommant l'outil ; franchissement d'un seuil de personnes qui rend la gestion nominative ingérable dans un gestionnaire de mots de passe. Le tiers de confiance externe soulève la question du mandat écrit, de la conservation, de la succession et de la responsabilité en cas de perte : on y répond par une convention simple, un support scellé et une vérification annuelle. Le départ de l'exploitant unique se juge à ce qui existe par écrit, procédure de reprise, accès aux coffres, inventaire des dépendances. La mesure de fond est documentaire, et l'architecture ne la remplace pas.

Cas 2. Le coût du goulet se chiffre en jours d'attente cumulés par équipe et par an, à comparer au coût de licence. Les données à demander sont le nombre de demandes mensuelles, leur délai moyen et le coût interne d'une journée d'ingénieur bloqué. Une demande hors catalogue se traite par une contribution au dépôt, revue par la plateforme ; le critère entre exception et nouvelle entrée est la récurrence attendue, un besoin qui se reproduira chez d'autres équipes entrant au catalogue. Le templating crée une dépendance à l'exactitude des groupes du fournisseur d'identité : les contrôles à ajouter sont la revue périodique des appartenances, l'alerte sur les modifications de groupes sensibles, et des tests automatiques vérifiant les refus attendus.

Cas 3. L'objection à la méthode unique tient au fait que Vault ferait confiance au plan de contrôle du cluster de développement pour attester d'identités de production : quiconque obtient un accès administrateur sur le cluster le moins protégé peut alors fabriquer un compte de service et emprunter une identité de production. Les critères d'entrée au périmètre de synchronisation portent sur la sensibilité de la valeur, l'impossibilité technique de modifier l'application, et l'existence du chiffrement du magasin ; la révision est trimestrielle, avec sortie automatique de toute entrée non rejustifiée. La reconstruction non suivie d'une reconfiguration produit des échecs d'authentification en masse au redémarrage des pods, difficiles à relier à leur cause. La supervision aurait dû afficher un pic d'échecs par méthode, avec le nom du cluster concerné.

Cas 4. L'absence de troisième emplacement se chiffre à partir de la probabilité de perte d'une salle et de la durée d'une reprise manuelle, vérifications comprises ; le résultat dépasse généralement le budget annuel d'indisponibilité à lui seul. La comparaison entre cluster de secours et réplication porte sur la fraîcheur, le caractère manuel ou non de la promotion, la propagation des erreurs logiques, le coût et la complexité d'exploitation. L'argument décisif est souvent l'objectif de perte de données, qui écarte les snapshots dès qu'il descend sous quelques minutes. Un troisième nœud devenu leader et lent oriente vers la latence du lien et les ressources de la machine ; les mesures combinent le dimensionnement, la préférence de placement du leader et la surveillance de l'identité de l'actif.

Cas 5. L'encadré sur le scellement croisé doit contenir le scénario complet de la coupure générale, l'ordre de démarrage impossible, et la seule sortie, reconfigurer un seal à l'aide des recovery keys, en soulignant qu'elle suppose d'avoir prévu, écrit et exercé cette manœuvre, ce qui revient à admettre qu'un quorum humain reste nécessaire. La double instance exige de produire deux enveloppes de la clé racine ; la vérification consiste à démarrer les nœuds de chaque centre avec l'autre gardien arrêté. Une rotation désynchronisée rend une moitié des nœuds indémarrables : la procédure traite donc les deux instances comme un objet unique. La démonstration à l'auditeur reprend la méthode du chapitre 29, en listant les paires suffisantes et la séparation qui protège chacune.

Cas 6. Le tableau de correspondance associe à chaque exigence un contrôle et une preuve : journal archivé en écriture unique et rapport d'intégrité ; double validation technique et extrait de configuration avec traces de validations ; module matériel et certificat de conformité ; séparation des rôles et matrice des policies ; exercices de reprise et procès-verbaux. Sur la procédure d'urgence, la réponse repose sur trois éléments : une liste limitative des cas, une revue a posteriori systématique et documentée, et une alerte immédiate vers un destinataire indépendant de l'opérateur. La présentation des risques résiduels gagne à suivre la forme du chapitre 29, risque nommé, impact borné, mitigation en place, critère de révision, parce qu'un risque ainsi tenu démontre la gouvernance au lieu de l'affaiblir.