nonobis/Heimdall
Watch
1
0
Fork
You've already forked Heimdall
 0
Code Issues 24 Pull requests Projects Releases Packages Activity Actions 1

FEAT: Migration secrets CI — Vault → Infisical dédié Forgejo #104

New issue
Closed
opened 2026-08-12 11:36:35 +02:00 by nonobis · 0 comments
nonobis commented 2026-08-12 11:36:35 +02:00
Owner
Copy link

Contexte

Les templates CI utilisent HashiCorp Vault (OIDC) pour injecter les secrets (vault-secrets). Une instance Infisical dédiée pour le Forgejo remplace le Vault.

Architecture validée (2026-08-12)

  • Credentials Infisical = secrets Forgejo : VAULT_URL, VAULT_CLIENT_ID, VAULT_CLIENT_SECRET
    (déjà créés dans nonobis/templates — ⚠️ voir la contrainte repo ci-dessous)
  • Secrets métier dans l'Infisical dédié : SONARQUBE_URL, SONARQUBE_TOKEN, DOCKER_USERNAME, DOCKER_PASSWORD, REGISTRY_URL, REGISTRY_USER, REGISTRY_TOKEN, FORGEJO_TOKEN…
  • Les builds passent par l'action infisical-secrets : auth universal-auth (client-id/secret depuis les secrets Forgejo) → export du projet Infisical → injection $GITHUB_ENV.

⚠️ Contrainte technique Forgejo (vérifiée)

Les secrets d'un repo ne sont PAS accessibles depuis les workflows des AUTRES repos.
VAULT_URL/VAULT_CLIENT_ID/VAULT_CLIENT_SECRET créés dans templates ne sont donc pas lisibles par les workflows Heimdall/Sleipnir/Njord.
➡️ Action requise : déclarer ces 3 secrets au niveau organisation nonobis (Settings → Actions → Secrets, une seule fois, accessible par tous les repos) — OU les dupliquer dans chaque repo projet.

Fait (templates, prêt à l'emploi)

  • Action infisical-secrets : universal-auth → injection $GITHUB_ENV (délimiteur EOF)
  • ci-full / ci-release : input secrets-provider (vault défaut | infisical) + inputs infisical-domain/project-id/client-id/client-secret/env
  • README templates : section Secrets documentée

À faire

  • (Utilisateur) Créer les org secrets nonobis : VAULT_URL, VAULT_CLIENT_ID, VAULT_CLIENT_SECRET (ou par repo)
  • Déployer l'instance Infisical dédiée Forgejo (URL : à définir)
  • Créer le projet CI (ex. forgejo-ci) + env prod
  • Créer une machine identity par projet (heimdall-ci, sleipnir-ci, njord-ci) rôle Read
  • Déposer les secrets métier : SONARQUBE_URL, SONARQUBE_TOKEN, Docker, Registry…
  • Basculer les ci.yml/release.yml des projets sur secrets-provider: infisical (inputs depuis secrets.*)
  • Supprimer les politiques Vault *-ci une fois la bascule validée

Critères d'acceptation

  • Un run CI Heimdall passe avec secrets-provider: infisical (secrets lus depuis Forgejo + Infisical)
  • SonarQube actif via SONARQUBE_URL/SONARQUBE_TOKEN (#101)
  • Rétrocompat : secrets-provider: vault continue de fonctionner

Référence

Templates : infisical-secrets, ci-full, ci-release. Skill : infisical (instance Hermes) — section instance dédiée Forgejo ajoutée.

## Contexte Les templates CI utilisent HashiCorp Vault (OIDC) pour injecter les secrets (`vault-secrets`). Une **instance Infisical dédiée pour le Forgejo** remplace le Vault. ## Architecture validée (2026-08-12) - **Credentials Infisical = secrets Forgejo** : `VAULT_URL`, `VAULT_CLIENT_ID`, `VAULT_CLIENT_SECRET` (déjà créés dans `nonobis/templates` — ⚠️ voir la contrainte repo ci-dessous) - **Secrets métier dans l'Infisical dédié** : `SONARQUBE_URL`, `SONARQUBE_TOKEN`, `DOCKER_USERNAME`, `DOCKER_PASSWORD`, `REGISTRY_URL`, `REGISTRY_USER`, `REGISTRY_TOKEN`, `FORGEJO_TOKEN`… - **Les builds** passent par l'action `infisical-secrets` : auth universal-auth (client-id/secret depuis les secrets Forgejo) → export du projet Infisical → injection `$GITHUB_ENV`. ## ⚠️ Contrainte technique Forgejo (vérifiée) Les **secrets d'un repo ne sont PAS accessibles depuis les workflows des AUTRES repos**. `VAULT_URL`/`VAULT_CLIENT_ID`/`VAULT_CLIENT_SECRET` créés dans `templates` ne sont donc pas lisibles par les workflows Heimdall/Sleipnir/Njord. ➡️ **Action requise** : déclarer ces 3 secrets au niveau **organisation `nonobis`** (Settings → Actions → Secrets, une seule fois, accessible par tous les repos) — OU les dupliquer dans chaque repo projet. ## Fait (templates, prêt à l'emploi) - Action `infisical-secrets` : universal-auth → injection `$GITHUB_ENV` (délimiteur EOF) - `ci-full` / `ci-release` : input `secrets-provider` (`vault` défaut | `infisical`) + inputs `infisical-domain/project-id/client-id/client-secret/env` - README templates : section Secrets documentée ## À faire - [ ] **(Utilisateur)** Créer les org secrets `nonobis` : `VAULT_URL`, `VAULT_CLIENT_ID`, `VAULT_CLIENT_SECRET` (ou par repo) - [ ] Déployer l'instance Infisical dédiée Forgejo (URL : à définir) - [ ] Créer le projet CI (ex. `forgejo-ci`) + env prod - [ ] Créer une machine identity par projet (heimdall-ci, sleipnir-ci, njord-ci) rôle Read - [ ] Déposer les secrets métier : `SONARQUBE_URL`, `SONARQUBE_TOKEN`, Docker, Registry… - [ ] Basculer les ci.yml/release.yml des projets sur `secrets-provider: infisical` (inputs depuis `secrets.*`) - [ ] Supprimer les politiques Vault `*-ci` une fois la bascule validée ## Critères d'acceptation - [ ] Un run CI Heimdall passe avec `secrets-provider: infisical` (secrets lus depuis Forgejo + Infisical) - [ ] SonarQube actif via `SONARQUBE_URL`/`SONARQUBE_TOKEN` (#101) - [ ] Rétrocompat : `secrets-provider: vault` continue de fonctionner ## Référence Templates : `infisical-secrets`, `ci-full`, `ci-release`. Skill : `infisical` (instance Hermes) — section instance dédiée Forgejo ajoutée.
nonobis added reference ci/refonte-multi-workflows 2026-08-17 09:47:33 +02:00
Sign in to join this conversation.
ci/refonte-multi-workflows
Branches Tags
Clear current reference
main
feat/migrate-ci-woodpecker
feat/implement-all-5-tickets-complètement
fix/pending-model-changes-warning
feat/131-user-camera-access-entity
feat/11-persons-ui
feat/mobile-feature
feat/134-camera-access-panel-ui
feat/89-confirm-user-email
fix/27-e2e-tests
feat/133-user-camera-access-api
feat/141-camera-access-tests
fix/mobile-ci
feat/110-camera-discovery-ui
feat/136-filter-sites-by-user-access
feat/142-i18n-localization
feat/14-opentelemetry-metrics
feat/59-toggle-camera-status
feat/75-agent-remote-mode
feat/76-agent-gpu-worker
feat/86-agent-inventory-ui
fix/25-readme-update
fix/47-auth-redirect
fix/77-docker-compose-gpu
feat/11-persons-ui-new
feat/88-edit-user-email
fix/ci-infra-heimdall
feat/feat-application-mobile-android-kotlin-jetpack-com
feat/feat-release-notes-automatiques-forgejo-changelog
feat/feat-service-icameraaccessservice-r-solution-des-a
feat/feat-backup-automatis-postgresql-alarik-avec-test-
feat/feat-filtrage-cam-ras-adapter-getcamerasbysite-aux
feat/feat-suppression-de-site-en-cascade-agents-et-cam-
feature/auto-update-docker
feature/auto-update-native
feature/audit-full-coverage
feat/agent-inventory-ui
feat/integration-settings-ui
feat/ntfy-config-complete
feat/agent-gpu-consumer
fix/ci-refonte-politique-143
Clear current reference
No results found.
Labels
Clear labels   
bug
Comportement incorrect ou risque fonctionnel

  
chore
Maintenance, dépendances, CI, outillage

  
design
Ticket avec composante UI — maquette the-designer requise/intégrée

  
dx:ci

   
dx:database

   
dx:dotnet

   
dx:infra

   
dx:security

   
dx:tests

   
dx:ui

   
etape-1
Étape 1 — MVP Multi-Site (phases 1-12)

  
etape-2
Étape 2 — Caméras + Temps réel (phases 13-14)

  
etape-3
Étape 3 — Vidéo + IA (phases 15-16)

  
etape-4
Étape 4 — Événements + Notifications (phases 17-19)

  
etape-5
Étape 5 — UI Blazor complète (phases 20-23)

  
etape-6
Étape 6 — Production Hardening (phase 24)

  
etape-7
Étape 7 — Mobile (phase 25)

  
feature
Nouvelle fonctionnalité / implémentation spec manquante

  
priority-high
Priorité haute — bloque le cœur métier

  
priority-low
Priorité faible / cosmétique

  
priority-medium
Priorité moyenne

  
security
Vulnérabilités CVE, scans Trivy/OWASP, security hardening

  
spec
Référence à MASTER_SPECIFICATION.md

  
tech-debt
Dette technique, obsolescence, drift documentation

No labels
bug
chore
design
dx:ci
dx:database
dx:dotnet
dx:infra
dx:security
dx:tests
dx:ui
etape-1
etape-2
etape-3
etape-4
etape-5
etape-6
etape-7
feature
priority-high
priority-low
priority-medium
security
spec
tech-debt
Milestone
Clear milestone
No items
No milestone
Projects
Clear projects
No items
No project
Assignees
Clear assignees
No assignees
1 participant
Notifications
Due date
The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set

Reference
nonobis/Heimdall#104
No description provided.