Secrets Vault

Aide du Hub TheSocle · vault.secrets.ecran

Le coffre à secrets du Hub : son état, et l'arborescence des secrets qu'il garde. Les valeurs ne s'affichent qu'à la demande, et c'est tracé.

Voir l'élément dans l'écran : secrets/vault

Explication

Le Hub ne range pas les mots de passe, jetons et clés dans sa base : il les confie à Vault, un coffre dédié. Les applications y lisent leurs secrets au démarrage, sous un chemin qui leur est propre.

L'écran a deux parties :

le statut du coffre : scellé ou non, version, nom du cluster, état du worker ;
l'explorateur : l'arborescence réelle des secrets, rangée par dossier de premier niveau.

L'explorateur procède en deux temps, exprès :

Voir montre les noms des champs d'un secret (username, password…), sans leur valeur ;
Révéler demande les valeurs. Cette divulgation est nominative : le Hub l'écrit dans son journal, avec votre identité, le chemin et les noms des champs.

Les valeurs révélées se masquent d'elles-mêmes au bout de deux minutes.

Fiche complète

Ce que l'écran appelle

Moment	Appel	Ce qui sort de Vault
ouverture	`vault_worker.get_status` + `LIST` récursif du coffre	l'état, les chemins
Voir	`GET /hub/secrets/fields?path=…` → `vault_worker.get_secret`	les noms des champs ; valeurs masquées `***`
Révéler	`POST /hub/secrets/reveal` (`path`) → lecture directe du secret	les valeurs en clair

Par un agent

vault_worker.get_secret rend les noms des champs avec des valeurs masquées ; get_secret_keys liste les sous-chemins d'un dossier ; set_secret, delete_secret, create_app_path, delete_app_path écrivent. Aucune action ne rend une valeur en clair : seul le bouton Révéler de cet écran le fait.

Où est la trace d'une révélation

Une ligne [secrets][reveal] <vous> a révélé <chemin> — champs [...] dans le journal applicatif du Hub. Ce n'est pas une ligne du journal d'audit des actions (TechDB) : la lecture ne passe pas par l'exécuteur d'actions.

Constaté sur le Hub 3.77.0

Un « Révéler » dévoile tout le secret. Chaque champ a son bouton, mais tous appellent la même fonction, qui rend et affiche toutes les valeurs du chemin (secrets/vault.html, reveler() ; le commentaire du gabarit promet « champ par champ »).
« Aucun secret dans le coffre. » peut mentir. Si la lecture de l'arborescence échoue, le contrôleur rend une arborescence vide, et l'écran affiche ce message comme pour un coffre réellement vide (PortalDashboardController.buildVaultTree).
Un secret posé à la racine du coffre apparaît comme un dossier « (0 secrets) » : le parcours cherche ses enfants au lieu de le traiter comme un secret.
Au-delà de 5 niveaux de dossiers, l'arborescence est tronquée ; seul le journal le dit.

Sommaire du démonstrateur