Aller au contenu principal

Authentifiez votre télémétrie : clés d'API d'ingestion par projet

équipe avuru obs
Mainteneurs

Jusqu'ici, une gateway croyait sur parole le projet annoncé par l'émetteur. Vous pouvez maintenant émettre des clés d'API d'ingestion par projet et laisser la clé trancher — avec un réglage par défaut qui ne change rien tant que vous n'êtes pas prêt.

  • C'est la clé qui détermine le projet. Créez vos clés dans Paramètres → Général → Clés d'API d'ingestion (ou via POST /api/v1/projects/{project}/keys). En mode enforce, le projet de la clé validée devient le tenant qui fait autorité et écrase toute valeur fournie par l'émetteur. Un émetteur mal configuré — ou malveillant — ne peut plus écrire dans un projet qui ne lui a jamais été accordé.
  • Le secret n'est affiché qu'une seule fois. Seule son empreinte SHA-256 est conservée : la clé brute est donc irrécupérable, aussi bien depuis la base que depuis l'API. La liste n'affiche qu'un préfixe court et des métadonnées pour l'identification ; la révocation est immédiate.
  • Votre chemin d'ingestion reste rapide. Les clés sont validées dans la gateway, par une extension de collecteur dédiée. Le hub ne répond qu'à une question de plan de contrôle : il n'est jamais sur le chemin des octets de télémétrie. Les verdicts sont mis en cache et un verdict en cache continue de servir pendant un redémarrage du hub — une coupure du plan de contrôle ne peut pas faire perdre de trafic.
  • Un déploiement en trois étapes, pas un interrupteur. auth.ingest.mode passe de off à log puis enforce. log est la valeur par défaut : les clés sont validées et les refus potentiels comptabilisés, mais rien n'est rejeté et le pipeline reste identique à l'octet près. Vous obtenez ainsi la liste exacte des émetteurs qui casseraient avant qu'ils ne cassent. Basculez en enforce une fois ce compteur à zéro.
  • Les émetteurs existants continuent de fonctionner. La mise à jour ne change rien par elle-même : la promesse « remplacement direct » est tenue. Le chart provisionne et enregistre également une clé pour le capteur de nœud, si bien qu'activer enforce ne coupe jamais votre propre agent.