Vault & secrets
Centralisez les credentials nécessaires aux opérations IT tout en contrôlant précisément qui peut les consulter ou les utiliser. Ce guide couvre la création, le partage, l’injection dans les jobs, la rotation et l’audit.
Mis à jour le 26 juillet 2026. Les libellés peuvent varier légèrement selon votre rôle et votre offre.
Comprendre le Vault
Le Vault sépare la valeur sensible de son usage opérationnel. Un technicien peut être autorisé à utiliser un credential dans un job sans nécessairement pouvoir afficher sa valeur.
- Chaque secret appartient à une organisation et à un périmètre explicite.
- Les valeurs sont chiffrées au repos et ne doivent jamais apparaître dans les logs.
- Les permissions de lecture, d’usage, de modification et de suppression sont distinctes.
- Chaque accès et utilisation sensible doit produire une trace d’audit.
- Les versions précédentes permettent de suivre les rotations et changements.
- Les secrets peuvent être partagés avec une équipe sans être rendus publics dans le tenant.
Créer un secret
- 1
Ouvrir Vault
Sélectionnez l’organisation concernée puis choisissez Nouveau secret.
- 2
Choisir le type
Indiquez s’il s’agit d’un mot de passe, token API, clé, communauté SNMP ou autre credential supporté.
- 3
Nommer clairement
Utilisez un nom orienté service, environnement et rôle.
Exemple : PROD — Compte déploiement Windows — Site Lyon. - 4
Définir le périmètre
Choisissez les équipes, rôles ou utilisateurs autorisés à consulter ou utiliser le secret.
- 5
Ajouter les métadonnées
Renseignez le propriétaire, la date de rotation attendue et une description non sensible.
- 6
Enregistrer puis tester
Utilisez le secret sur une cible pilote et vérifiez que sa valeur n’apparaît ni dans le job ni dans les logs.
Partager sans surexposer
- Lecture de métadonnées : voir le nom, le type et le propriétaire.
- Utilisation : injecter le secret dans un job sans afficher sa valeur.
- Révélation : afficher temporairement la valeur lorsque la politique l’autorise.
- Modification : créer une nouvelle version ou mettre à jour les métadonnées.
- Administration : gérer les partages, rotations et suppressions.
- Audit : consulter les événements d’accès et d’utilisation.
Utiliser un secret dans un job
- 1
Préparer le script
Référencez une variable attendue au lieu d’écrire la valeur en dur.
- 2
Associer le secret
Dans le formulaire du job ou de l’automatisation, sélectionnez le secret et le nom de variable cible.
- 3
Vérifier les permissions
L’opérateur, l’organisation et le job doivent être autorisés à utiliser ce secret.
- 4
Exécuter sur un pilote
Testez l’authentification sans imprimer la variable ni activer un mode debug verbeux.
- 5
Contrôler l’audit
Vérifiez qu’une utilisation est enregistrée sans exposer la valeur.
Organiser la rotation
- Définir une fréquence adaptée au niveau de risque et au fournisseur.
- Créer la nouvelle valeur avant de retirer l’ancienne lorsque le service autorise un chevauchement.
- Tester la nouvelle version sur un périmètre pilote.
- Mettre à jour les automatisations et intégrations dépendantes.
- Révoquer l’ancienne valeur après validation.
- Documenter l’auteur, la date, la raison et le résultat de la rotation.
Auditer les accès
- Rechercher les révélations de valeur inhabituelles ou hors horaires.
- Identifier les secrets jamais utilisés ou sans propriétaire.
- Contrôler les échecs répétés d’utilisation ou d’authentification.
- Réviser les partages après un changement d’équipe ou de rôle.
- Comparer les dates de dernière rotation avec la politique interne.
- Exporter les événements nécessaires aux contrôles de conformité.
Réagir à une exposition suspectée
- 1
Limiter l’accès
Retirez les partages non indispensables et suspendez les automatisations concernées si nécessaire.
- 2
Révoquer chez le fournisseur
La suppression dans Reap3r ne révoque pas automatiquement une clé auprès du service tiers.
- 3
Créer une nouvelle valeur
Effectuez une rotation et testez les dépendances.
- 4
Analyser l’audit
Recherchez les accès, jobs et utilisateurs liés à la période concernée.
- 5
Documenter l’incident
Conservez la cause, le périmètre, les mesures prises et les actions préventives.
Checklist de validation
- Chaque secret possède un propriétaire et un périmètre clair.
- Les techniciens utilisent les secrets sans révéler leur valeur lorsque possible.
- Aucune valeur sensible n’apparaît dans les scripts ou journaux.
- Les permissions sont revues après chaque changement d’équipe.
- Une date ou politique de rotation est définie.
- Les versions obsolètes sont révoquées chez le fournisseur.
- Les accès et utilisations sont audités régulièrement.
- Une procédure d’exposition ou de compromission est documentée.