Référence

Tableau récapitulatif des secrets

Élément	Stockage	Si perdu
init.json (unseal keys + root token)	Fichier local (Ansible controller), recommandé chiffré avec ansible-vault	CATASTROPHIQUE : Vault perd ses données au prochain redémarrage
Passphrase ansible-vault	Gestionnaire de mots de passe	Le fichier init.json chiffré devient illisible
Token CredentialAPI	Docker secret Swarm (reemo_VAULT_TOKEN)	Régénérable via le root token de init.json
Tokens Vault temporaires (5 min, pour Portal Credential)	Mémoire des containers applicatifs	Régénérés au prochain cycle, aucune action

Commandes utiles

# Déploiement complet
ansible-playbook -i inv playbook/reemo-infra.yml

# Déploiement avec ansible-vault
ansible-playbook -i inv playbook/reemo-infra.yml --ask-vault-pass

# Mise à jour Vault uniquement
ansible-playbook -i inv playbook/reemo-infra.yml --tags vault

# Mise à jour CredentialAPI / Portal Credential
ansible-playbook -i inv playbook/reemo-infra.yml --tags credentialapi,credentialportal

# Chiffrer init.json
ansible-vault encrypt playbooks/secrets/reemo/vault/init.json

# Voir le contenu chiffré
ansible-vault view playbooks/secrets/reemo/vault/init.json

# État de Vault
docker exec $(docker ps --filter name=reemo_vault1. -q) bao status

# Détails du token CredentialAPI
TOKEN=$(docker exec $(docker ps --filter name=reemo_credentialapi. -q | head -1) cat /run/secrets/reemo_credentialapi_vault_token)
docker exec -e BAO_TOKEN=$TOKEN $(docker ps --filter name=reemo_vault1. -q) bao token lookup