Secrets : le coffre MyIA-Keys devient la source unique, plus aucun secret au repos en clair (master.env, .env de services) #17558

Grain: MED/secrets-infra — lane myia-ai-01:CoursIA

See #17418 (jetons GitHub par lane) · See #17425 (organe agent_keyring.py) · See #14373 (render_envs.py --check aveugle)

Mandat

Le user, en session directe le 2026-09-23 : « Il faudra d'ailleurs tout migrer dans le kdbx, non ? plus rien dans des fichiers en clair serait une bonne chose il me semble. »

La cible est donc : le coffre partagé MyIA-Keys.kdbx devient la source unique de tous les secrets de la flotte, et aucun secret ne reste au repos dans un fichier en clair. Ce mandat direct vaut sign-off pour la modification de secrets-hygiene.md qu'il implique, en fin de parcours (règle 1 : « les secrets vivent uniquement dans des fichiers gitignorés »).

État mesuré (ai-01, 2026-09-23)

Trois familles de consommateurs, et ce que « pas en clair » veut dire pour chacune

1. Scripts et agents (Python, gh, sudo). Ils lisent le coffre au moment de l'appel : agent_keyring.py get, plus un agent_keyring.py run -- <commande> à écrire, qui injecte les variables dans l'environnement du seul processus enfant. Aucun fichier.
2. Services docker compose. compose interpole ${VAR} depuis l'environnement du processus qui lance up. Donc agent_keyring.py run -- docker compose up -d remplace le .env rendu. Limite à écrire, pas à cacher : la valeur vit ensuite dans la configuration du conteneur, et docker inspect la montre à qui a accès au socket Docker. Cela reste mieux qu'un fichier sur disque, sans être équivalent. Les services qui lisent un fichier de secret (hash ComfyUI-Login, par exemple) passent par un montage tmpfs ou des secrets Docker, cas par cas.
3. Distributions WSL (runners CI, sudo). WSL n'a pas accès à DPAPI. Le secret passe par l'interop Windows (l'organe côté Windows écrit sur le stdin du processus Linux). Jamais par un fichier sous /mnt/. Consommateur mesuré : le wrapper systemd des runners CI d'ai-01 (/usr/local/bin/coursia-runner-start.sh) lit GH_RUNNERS_ADMIN_TOKEN directement dans /mnt/d/CoursIA/.secrets/master.env à chaque démarrage. C'est le premier consommateur à basculer avant de retirer master.env sur ai-01, sinon le pool CI ne redémarre plus.

La contrainte qui décide du design : un seul écrivain

Le coffre est un fichier binaire unique, synchronisé par le client Drive. Deux machines qui l'écrivent dans la même fenêtre de synchronisation produisent une copie en conflit, et le client ne fusionne pas. Cela ne se voit qu'au moment où une entrée manque. Donc :

• lecture : toutes les machines ;
• écriture : un seul écrivain à la fois, le user ou ai-01. La commande agent_keyring.py set à écrire relève l'empreinte du fichier avant d'écrire, la relit après, et refuse si une copie en conflit existe à côté du coffre.

Ordre d'exécution

Premier secret à migrer : les identifiants sudo WSL (jesse), aujourd'hui dans le master.env d'ai-01 seulement. C'est le cas d'usage de la famille 3, et le seul secret que plusieurs machines attendent sans l'avoir.

Ce que ce plan ne fait pas

• Il ne déplace pas le PDF de secours : sa suppression suit Q38 (7/7), déjà décidée.
• Il ne change pas le canal de transmission ponctuelle : un DM RooSync privé reste valide pour ce qui n'est pas encore dans le coffre.
• Il ne réécrit aucun historique git : aucun secret n'y est, et ce plan n'y en met pas.