# Rôle `console_user`

Crée l'utilisateur **`console`** (non privilégié, sans sudo) sur les hôtes AlmaLinux.
C'est le compte que **Guacamole** (`portail.lab.local`) utilise pour ouvrir les
consoles SSH web vers storage-01 et gpu-01.

## Variables

| Variable | Défaut | Rôle |
|---|---|---|
| `console_user_name` | `console` | Nom du compte |
| `console_user_home` | `/home/console` | Home |
| `console_user_public_key` | clé ed25519 (défauts) | Clé publique autorisée — appairée avec `vault_console_ssh_private_key` |

## Caveats

- La **clé privée** correspondante est dans le vault (`vault_console_ssh_private_key`) ;
  elle se colle dans les paramètres de connexion Guacamole (UI → stockée dans la base
  `guacamole` sur storage-01). `make vault-view` pour la récupérer.
- `exclusive: true` sur `authorized_keys` : toute clé ajoutée à la main sur ce compte
  sera supprimée au run suivant.
- **Pas de sudo** volontairement. Pour de l'administration, ouvrir une session avec un
  compte admin classique, pas via le portail.
- Rotation de clé : régénérer une paire ed25519, remplacer la clé publique ici et la
  privée dans le vault + dans les connexions Guacamole, puis re-appliquer le rôle.

Doc portail complète : `admin/k8s/auth-portal.md`.