Gérer les devices et leur cycle de vie

Enrôler une machine

Enrôler, c'est rattacher une machine à un réseau et lui donner son identité dans le mesh. VIGIL-MESH propose trois méthodes selon le degré de contrôle voulu ; elles se règlent dans la console et se posent ensuite sur la machine à l'aide du client. La procédure complète côté machine est décrite dans /docs/demarrer-enrolement.

1. 1
   Clé pré-autoriséeUne clé émise à l'avance, à usage limité (nombre d'enrôlements et durée de validité bornés), pratique pour préparer un lot de machines ou automatiser un déploiement. La machine qui la présente rejoint le réseau sans validation manuelle supplémentaire.
2. 2
   Invitation à durée courteUn lien ou un code d'invitation à durée de vie brève, destiné à faire rejoindre une personne ou une machine ponctuelle. L'invitation expire d'elle-même, ce qui évite les jetons oubliés qui traînent.
3. 3
   File d'approbationLa machine demande à rejoindre, et un administrateur approuve explicitement depuis la console. C'est le mode le plus contrôlé : aucune machine n'entre sans un accord humain tracé dans l'audit.

Le cycle de vie : les statuts d'un device

Une fois enrôlée, une machine porte un statut qui décide de sa place dans le réseau. Le statut est piloté depuis la console et se propage aux autres membres via la carte réseau signée : changer un statut, c'est changer ce que les pairs sont autorisés à faire avec cette machine.

Renommage et MagicDNS

On joint rarement une machine par son adresse : chacune porte un nom court résolu localement par MagicDNS, sans qu'aucune requête DNS ne quitte le nœud. Depuis la console, vous renommez une machine et ce nom devient la façon canonique de la désigner à l'intérieur du réseau.

• Choisissez des noms parlants et stables : ils servent d'adresse pratique et se retrouvent dans l'audit comme dans la topologie.
• Le renommage change le nom interne, pas l'identité cryptographique ni l'adresse stable de la machine.
• Un nom clair par rôle et par site (par exemple la fonction et l'emplacement) évite les confusions quand la flotte grandit.

Le fonctionnement détaillé de l'adressage et de la résolution de noms — plages d'adresses, résolution strictement locale — est traité dans /docs/adressage-dns et /docs/config-magicdns.

Révocation immédiate

Quand une machine doit partir — perte, vol, fin de mission, compromission suspectée — la révocation retire la confiance qui lui était accordée. C'est une action explicite d'administration, tracée dans l'audit.

La révocation prend effet immédiatement : la nouvelle carte réseau signée qui exclut la machine se distribue aux membres, ses sessions en cours sont coupées et son identité n'est plus acceptée. Pour la faire revenir, il faut la réenrôler, ce qui lui donne une nouvelle identité — l'ancienne ne redevient jamais valide.