Confiance TLS enfichable : quatre modes de CA pour verrouiller Zaris

Le moyen le plus sûr de garantir que TLS sera contourné est d'imposer un unique modèle de confiance à tout le monde. Un développeur qui exécute un store sur un ordinateur portable ne veut pas monter une CA. Une banque dont la racine hors ligne est dans un HSM ne veut pas du tout que votre outil frappe des certificats. Livrez un store qui ne connaît qu'un seul de ces cas, et la moitié de vos utilisateurs désactiveront la sécurité pour faire leur travail.

Zaris ne choisit donc pas à votre place. Sa confiance TLS est enfichable selon quatre modes d'autorité de certification, du self-signed zéro-configuration jusqu'aux certificats que vous provisionnez entièrement hors bande. Vous choisissez le mode qui correspond à la PKI que vous exploitez déjà, et Zaris s'y insère au lieu de vous demander de tout reconstruire autour de lui. TLS n'est pas une solution universelle, et le traiter ainsi est précisément la raison pour laquelle la sécurité est repoussée.

Les quatre modes en un coup d'œil

Chaque mode vous amène au même endroit : les nœuds présentent des certificats, les clients les vérifient contre une CA de confiance, le trafic est chiffré. Ce qui diffère, c'est qui émet les certificats et où réside la racine de confiance. À mesure que vous passez de M0 à M3, Zaris fait moins d'émission et vous gardez plus de contrôle — choisissez le point où la frontière de confiance atterrit là où votre équipe sécurité le souhaite.

Mode	Nom	Qui émet les certificats de nœud	Racine de confiance
M0	Auto	Zaris	CA générée par Zaris
M1	BYO-CA	Zaris, sous votre CA	La CA de votre organisation
M2	Intermédiaire	Zaris, en tant qu'intermédiaire	Votre racine hors ligne, via un intermédiaire Zaris
M3	Pré-émis	Vous (hors bande)	Ce qui a frappé les certificats

M0 — Auto : TLS zéro-configuration pour le développement et les déploiements simples

En mode Auto, Zaris génère sa propre CA et émet automatiquement des certificats de nœud sous celle-ci. Il n'y a rien à provisionner — montez le cluster et les nœuds parlent déjà TLS entre eux et avec les clients.

Choisissez-le quand : vous développez, exécutez une démo, ou montez un déploiement simple où l'opérateur et le consommateur sont la même équipe — chiffrement activé, sans cérémonie.

tls:
  enabled: true
  ca:
    mode: auto        # Zaris generates a CA and issues node certs

Le compromis est inhérent à la confiance self-signed : les clients doivent faire confiance à une CA que Zaris a inventée, ce qui implique de la leur distribuer. C'est acceptable au sein d'une même équipe ; c'est le mauvais modèle dès lors que les certificats doivent se chaîner à quelque chose à quoi vos clients font déjà confiance — ce que corrige le mode suivant.

M1 — BYO-CA : se chaîner à une CA à laquelle vos clients font déjà confiance

Le mode apportez-votre-propre-CA est le cheval de bataille des organisations qui exploitent déjà une CA d'entreprise. Vous confiez votre CA à Zaris, et Zaris émet des certificats de nœud sous celle-ci, de sorte que le certificat de chaque nœud se chaîne jusqu'à une racine à laquelle vos clients font déjà confiance — aucune nouvelle CA à distribuer, aucune chirurgie de trust-store par client.

Choisissez-le quand : vous avez une CA d'entreprise existante et voulez des certificats Zaris sous celle-ci. C'est le choix de production le plus courant.

tls:
  enabled: true
  ca:
    mode: byo               # you provide the CA; Zaris issues node certs under it
    caCert: file:/etc/zaris/pki/org-ca.crt
    caKey:  file:/etc/zaris/pki/org-ca.key

Vous confiez ici une clé d'émission à Zaris, alors traitez ces fichiers comme les secrets qu'ils sont — montez-les depuis votre coffre de secrets, pas depuis un dépôt de configuration.

M2 — Intermédiaire : émission déléguée avec une racine hors ligne

Le mode intermédiaire est destiné aux organisations qui gardent leur CA racine hors ligne et délèguent l'émission à des intermédiaires. Zaris opère comme une CA intermédiaire sous votre racine et présente la chaîne complète — certificat de nœud, puis l'intermédiaire Zaris, jusqu'à votre racine — afin qu'un client vérificateur puisse construire le chemin de retour vers une racine à laquelle il fait confiance, même si cette racine n'approche jamais le cluster.

Choisissez-le quand : votre posture veut que la racine reste hors ligne (souvent dans un HSM) et que l'émission soit déléguée à des intermédiaires au périmètre restreint. Zaris devient l'un d'eux, avec un périmètre d'émission que vous contrôlez, tandis que la racine reste sous clé.

# Your offline root signs a Zaris intermediate (done once, off the cluster)
openssl x509 -req -in zaris-intermediate.csr \
  -CA root-ca.crt -CAkey root-ca.key -CAcreateserial \
  -extensions v3_intermediate -days 1825 \
  -out zaris-intermediate.crt

# The node must present the FULL chain: node -> intermediate -> root
cat zaris-node.crt zaris-intermediate.crt > zaris-node-fullchain.crt

tls:
  enabled: true
  ca:
    mode: intermediate
    intermediateCert: file:/etc/zaris/pki/zaris-intermediate.crt
    intermediateKey:  file:/etc/zaris/pki/zaris-intermediate.key
    # so clients can build the full path to your offline root
    chain: file:/etc/zaris/pki/zaris-intermediate-fullchain.crt

La présentation de la chaîne complète fait ou défait ce mode : si un nœud ne présente que son certificat feuille, les clients qui ne détiennent pas déjà l'intermédiaire ne peuvent pas construire le chemin jusqu'à la racine et la vérification échoue.

M3 — Pré-émis : vous frappez les certificats, Zaris se contente de les utiliser

Le mode pré-émis est le contrôle maximal. Vous provisionnez vous-même les certificats de nœud, entièrement hors bande, et Zaris n'effectue aucune émission — il charge et présente les certificats que vous lui donnez. Il ne détient jamais de clé d'émission, car il n'émet rien.

Choisissez-le quand : vous êtes dans un environnement strict ou réglementé où les certificats sont frappés par un système dédié — une équipe PKI d'entreprise, un pipeline adossé à un HSM, cert-manager avec un émetteur contrôlé — et où aucune application ne peut émettre les siens. Zaris s'y conforme en sortant complètement du métier de l'émission.

tls:
  enabled: true
  ca:
    mode: provided          # certs minted elsewhere; Zaris only presents them
    nodeCert: file:/etc/zaris/pki/node-fullchain.crt
    nodeKey:  file:/etc/zaris/pki/node.key
    trustBundle: file:/etc/zaris/pki/trust-bundle.crt

Comme rien n'est émis pour vous, la charge se déplace entièrement vers votre processus de provisionnement : les certificats doivent déjà porter les bons SAN pour chaque nom que chaque nœud annonce, et leur rotation vous appartient.

Un mot honnête sur la maturité

Les quatre modes sont un choix de configuration de première classe, pas un fork de la build. Deux sont des routes pour utilisateurs avertis : M2 (Intermédiaire) vit ou meurt sur une présentation correcte de la chaîne complète (un nœud feuille uniquement échoue à la vérification pour les clients dépourvus de l'intermédiaire), et M3 (Pré-émis) place les SAN, la gestion des clés et la rotation entièrement sur votre processus de provisionnement, car Zaris n'émet rien. M0 et M1 sont les rampes d'accès en douceur ; optez pour M2/M3 quand votre PKI l'exige.

L'intérêt des quatre modes

La valeur n'est pas le nombre — c'est que vous pouvez activer TLS sans combattre votre PKI. Même store, quatre frontières de confiance : chiffrement gratuit en développement, chaînage à votre CA d'entreprise en production, délégation sous une racine hors ligne, ou frappe de certificats en externe et remise à Zaris. La sécurité qui s'adapte à l'environnement reste activée ; la sécurité qui le combat est désactivée.

Pour aller plus loin

Pour voir un cluster sécurisé monté de bout en bout — TLS activé, certificats multi-SAN, accès externe, et un client s'y connectant — lisez Déployer Zaris sur Kubernetes avec Helm. Pour la référence de configuration complète de chaque mode de CA, voir le guide des modes de confiance CA.