2026-06-24 20:17:46 -04:00
|
|
|
# client_pki
|
|
|
|
|
|
|
|
|
|
Intégration cliente **PKI / identité machine** : chaque hôte fait confiance à l'AC
|
|
|
|
|
interne (`serveur_step_ca`), obtient **son propre certificat** et le renouvelle
|
|
|
|
|
automatiquement.
|
|
|
|
|
|
|
|
|
|
## Rôle
|
|
|
|
|
- Installe `step-cli` (dépôt apt Smallstep).
|
|
|
|
|
- **Confiance** : `step ca bootstrap --install` → installe la racine de l'AC dans le
|
|
|
|
|
magasin de confiance système (l'hôte fait confiance au TLS interne réel).
|
|
|
|
|
- **Certificat d'hôte** : `step ca certificate <fqdn>` via le provisioner.
|
|
|
|
|
- **Renouvellement automatique** : unités systemd officielles `cert-renewer@.{service,timer}`
|
|
|
|
|
(vérifie/renouvelle toutes les 15 min, recharge le service consommateur s'il existe).
|
|
|
|
|
|
|
|
|
|
## « Chaque hôte authentifiable »
|
|
|
|
|
Après ce rôle, l'hôte possède une **identité machine** vérifiable : un certificat émis
|
|
|
|
|
par l'AC interne, renouvelé sans intervention. Les services peuvent l'utiliser pour
|
|
|
|
|
du TLS / mTLS interne.
|
|
|
|
|
|
|
|
|
|
## Secrets requis (Vault)
|
|
|
|
|
```yaml
|
|
|
|
|
client_pki_provisioner_password: "{{ vault_step_ca_provisioner_password }}" # partage avec serveur_step_ca
|
|
|
|
|
```
|
2026-08-01 22:37:27 -04:00
|
|
|
Un seul — et l'empreinte racine n'en fait **pas** partie.
|
|
|
|
|
|
|
|
|
|
## L'empreinte du root CA n'est pas un intrant
|
|
|
|
|
Elle est **dérivée à chaud** depuis l'autorité (`step certificate fingerprint` exécuté sur
|
|
|
|
|
`serveur_step_ca`, en `delegate_to`), et non lue depuis la voûte. La raison : un `from-zero`
|
|
|
|
|
régénère l'AC, donc son empreinte change. Une empreinte figée en voûte serait périmée dès la
|
|
|
|
|
première reconstruction — et une empreinte périmée fait échouer le `bootstrap` de chaque
|
|
|
|
|
hôte, sans que rien n'indique pourquoi.
|
|
|
|
|
|
|
|
|
|
Si l'AC est injoignable ou pas encore déployée, un `assert` échoue avec un message clair
|
|
|
|
|
plutôt que de laisser passer une empreinte vide — ce qui reviendrait à faire confiance à
|
|
|
|
|
n'importe quelle autorité au premier contact.
|
|
|
|
|
|
|
|
|
|
Pour épingler explicitement une empreinte (AC externe, migration) :
|
|
|
|
|
`client_pki_ca_fingerprint_override`.
|
2026-06-24 20:17:46 -04:00
|
|
|
|
|
|
|
|
## Variables principales
|
|
|
|
|
| Variable | Défaut | Rôle |
|
|
|
|
|
| --- | --- | --- |
|
|
|
|
|
| `client_pki_ca_url` | `https://infra-pki-01.exemple.internal:8443` | URL de l'AC |
|
|
|
|
|
| `client_pki_provisioner` | `admin@exemple.internal` | Provisioner émetteur |
|
|
|
|
|
| `client_pki_nom_cert` | FQDN de l'hôte | Nom du certificat |
|
|
|
|
|
|
|
|
|
|
## Notes / sécurité
|
|
|
|
|
- Émission via le provisioner **JWK** (mot de passe partagé) : tout hôte avec ce secret
|
|
|
|
|
peut émettre des certificats. Acceptable en interne ; pour durcir, basculer vers ACME
|
|
|
|
|
ou des jetons à usage unique par hôte (phase ultérieure).
|
|
|
|
|
- Pour qu'un service (nginx, keycloak…) recharge automatiquement après renouvellement,
|
|
|
|
|
nommer son certificat d'après le service (instance `cert-renewer@<service>`).
|
|
|
|
|
|
|
|
|
|
## Prérequis
|
|
|
|
|
- Dépendance `client_pki requiert serveur_step_ca actif` (déjà dans `docs/dependances-groupes.yml`).
|
|
|
|
|
- Réseau vers l'AC (`:8443`).
|
