---
# Politique d'integration. Voir roles/client_metrique/meta/integration.yml pour le
# raisonnement, et docs/decisions-architecture.md (D-33).
integration:
  universelle: true
  raison: >-
    Tout hote fait confiance a l'AC interne et porte un certificat : c'est le
    prerequis du chiffrement est-ouest (voir docs/zero-confiance.md). Un hote sans
    certificat ne peut ni presenter ni verifier — il retombe en clair en silence.
  # L'AC ne s'enrole pas aupres d'elle-meme : elle EST la source de la confiance.
  # L'exemption se derive du service rendu, jamais d'un nom d'hote — elle suit donc
  # step-ca si on le deplace.
  sauf_role: serveur_step_ca