akadmin/Funk-lab
1
0
Fork 0
mirror of https://github.com/Alkatrazz24/Funk-lab.git synced 2026-07-08 17:14:42 +02:00
Code Issues Projects Releases Packages Wiki Activity Actions

chore(forgejo): archive le mot de passe admin break-glass au vault + doc

Browse source 
- vault_forgejo_admin_password (compte local forgejo-admin, accès de secours)
- doc : note DISABLE_REGISTRATION, section break-glass, su-exec git obligatoire

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
This commit is contained in:
alkatrazz 2026-07-07 23:48:39 +02:00
parent 674684f32d
commit 914666d71d
3 changed files with 197 additions and 176 deletions
Download patch file Download diff file Expand all files Collapse all files

22
admin/k8s/forgejo.md
View file

@ -40,6 +40,7 @@ Vault Ansible (`make vault-view`) :
|---|---|
| `vault_pg_forgejo_password` | Base PG `forgejo` (= clé `pg-password` du secret k8s) |
| `vault_forgejo_oauth_client_secret` | Client secret OIDC Forgejo côté Authentik |
| `vault_forgejo_admin_password` | Mot de passe de l'admin local **break-glass** `forgejo-admin` |
Secret k8s (créé à la main, **hors git**, comme les autres apps) :
@ -90,8 +91,25 @@ kubectl -n ai exec deploy/forgejo -- forgejo admin auth add-oauth \
Ensuite : `https://git.funklab.online` → bouton **« Se connecter avec authentik »**.
Le **premier** utilisateur créé devient admin ; via `--admin-group lab-admins`, tout
membre du groupe est admin. (Break-glass sans SSO : créer un admin local
`kubectl -n ai exec deploy/forgejo -- forgejo admin user create --admin ...`.)
membre du groupe est admin.
> ⚠️ `DISABLE_REGISTRATION` doit rester **`false`** (avec `ALLOW_ONLY_EXTERNAL_REGISTRATION=true`) :
> à `true` il bloque **aussi** l'auto-provisioning OIDC → écran « inscriptions désactivées »
> après un login pourtant réussi.
### Admin local break-glass
Accès de secours si Authentik est HS (Forgejo n'a **aucun admin par défaut**). Compte
`forgejo-admin` déjà créé, mot de passe dans le vault (`vault_forgejo_admin_password`) :
```bash
# login local : https://git.funklab.online/user/login (formulaire en bas)
# (re)créer / réinitialiser si besoin :
kubectl -n ai exec deploy/forgejo -- su-exec git forgejo admin user create \
--username forgejo-admin --email forgejo-admin@funklab.online \
--password '<vault_forgejo_admin_password>' --admin --must-change-password=false
```
> Le CLI `forgejo` **refuse de tourner en root** → toujours le préfixer de `su-exec git`.
## Créer le miroir de Funk-lab