Documentation
Configurer l'enrôlement : clés, invitations, approbation
Enrôler une machine, c'est autoriser un appareil à rejoindre votre espace de travail. VIGIL-MESH propose trois méthodes selon le type de machine : une clé pré-autorisée à usage limité pour un serveur sans écran, une invitation à durée courte pour un poste piloté par une personne, ou une file d'approbation quand chaque demande doit être validée à la main. Chaque appareil reçoit une identité Ed25519 propre, le contrôleur distribue une carte réseau signée, et la révocation prend effet immédiatement. Cette page décrit comment paramétrer ces méthodes et le cycle de vie des devices ; le pas à pas d'un premier enrôlement est détaillé dans /docs/demarrer-enrolement.
Les trois méthodes
Le choix de la méthode dépend surtout de la machine : est-elle sans écran (headless) ou pilotée par une personne, et voulez-vous valider chaque adhésion à la main ? Les trois voies aboutissent au même résultat — un appareil actif dans votre workspace — mais n'offrent pas les mêmes garde-fous.
| Méthode | Quand l'utiliser | Garde-fous |
|---|---|---|
| Clé pré-autorisée | Serveurs et machines headless, déploiements automatisés, images à cloner. | Usage limité : nombre d'utilisations et durée de validité bornés, révocable à tout moment. |
| Invitation à durée courte | Poste d'une personne que vous connaissez, mise en service ponctuelle. | Lien ou code à durée de vie courte, à usage restreint, qui expire de lui-même. |
| File d'approbation | Environnements où chaque adhésion doit être validée par un administrateur. | La machine reste en attente jusqu'à approbation explicite dans la console ; refus possible. |
Portée et durée des clés et invitations
Une clé pré-autorisée ou une invitation n'est pas un mot de passe éternel : c'est un secret d'enrôlement à usage limité. On lui fixe une portée (le périmètre qu'elle autorise) et une durée (au-delà de laquelle elle ne vaut plus rien). Émise juste avant le déploiement, réservée au périmètre visé et révoquée dès qu'elle n'est plus utile, elle réduit fortement la fenêtre d'exposition.
- Nombre d'utilisations : une clé pré-autorisée peut être limitée à un seul enrôlement ou à un nombre défini, utile pour un lot de machines à cloner.
- Échéance : clés et invitations portent une date de validité au-delà de laquelle elles expirent d'elles-mêmes, sans intervention.
- Durée courte pour les invitations : destinées à une personne, elles ont une durée de vie brève et un usage restreint, ce qui limite le risque en cas de fuite du lien.
- Révocabilité : une clé ou une invitation peut être révoquée à tout moment, ce qui l'annule même si son échéance n'est pas atteinte.
Cycle de vie d'un device
Un appareil enrôlé n'est pas figé : son statut évolue au fil de sa vie dans le workspace. Ces états se lisent et se pilotent depuis la console, et ils déterminent si la machine peut communiquer sur le mesh.
- Actif : l'appareil est autorisé et participe au réseau ; il émet et reçoit du trafic selon les politiques d'accès.
- Suspendu : l'accès est mis en pause, sans supprimer l'appareil ni son identité. Utile pour une machine temporairement hors service ou en investigation ; on peut la réactiver.
- Révoqué : l'autorisation est retirée définitivement. L'appareil perd aussitôt l'accès au réseau et devrait être ré-enrôlé, avec une nouvelle identité, s'il doit revenir.
- Expiré : l'autorisation a atteint son échéance (invitation ou clé arrivée à terme). L'appareil sort du réseau tant qu'il n'est pas ré-autorisé.
Révocation immédiate
Révoquer ou suspendre un appareil coupe son accès sans attendre. Le retrait se traduit dans la carte réseau signée que le contrôleur redistribue : dès que la netmap mise à jour est propagée, l'appareil retiré n'y figure plus comme pair autorisé, et les autres nœuds cessent d'accepter ses sessions. Il perd la joignabilité des pairs comme la réception des diffusions.
Ce mécanisme repose sur l'identité cryptographique de chaque machine. À l'enrôlement, l'appareil génère une paire de clés Ed25519 : la clé publique devient son identité stable dans le workspace, la clé privée ne quitte jamais la machine. Le contrôleur signe la netmap, si bien qu'un nœud rejette toute topologie qui n'est pas signée par lui — et donc tout appareil qui en a été retiré.
In English
Enrolling a machine means authorising a device into your workspace, using one of three methods: a limited-use pre-authorised key for headless servers, a short-lived invitation for a person's device, or an approval queue when every request must be validated by hand.
Keys and invitations are bounded in use and lifetime, and each device gets its own Ed25519 identity while the controller distributes a signed netmap. A device can be active, suspended, revoked or expired, all managed from the console.
Revocation takes effect immediately: the device is dropped from the signed netmap and loses access without delay — the right reflex for a lost, stolen or compromised machine.