Echecs de validation TLS intermittents avec Vault PKI et Go

Salut. Si c'est intermittent, c'est souvent un problème de chaîne de certification incomplète. Est-ce que tes services reçoivent bien l'intégralité de la chaîne (certificat + intermediates) ou juste le certificat final ?

C'est une piste. Les clients Go sont très stricts sur la présence des certificats intermédiaires lors du handshake TLS si ceux-ci ne sont pas dans le trust store local du container.

Montre-nous comment ton vault-agent écrit les fichiers sur le disque.

Je vois le problème. Dans ton tls.crt, tu n'écris que le certificat final. Si ton client ne connaît pas l'intermediate qui a signé ce cert, il rejette la connexion.

Vault renvoie plusieurs champs : certificate, issuing_ca, et ca_chain.

Exactement. Pour que le TLS handshake soit complet, le serveur doit envoyer son certificat ET les certificats intermédiaires. Le client, lui, n'a besoin que du Root CA dans son trust store.

Tu devrais concaténer le cert et la chaîne dans ton fichier de destination.

Pas forcément. Si un service a déjà réussi à valider une chaîne via un autre service qui lui envoyait la chaîne complète, certains runtimes (ou l'OS) peuvent mettre l'intermediate en cache mémoire.

C'est le syndrome de l'intermediate manquant classique. On peut vérifier ça avec un openssl s_client -connect sur un service qui tourne.

Voilà. Il faut que tu modifies ton template pour inclure ca_chain. Attention, ca_chain est une liste dans la réponse JSON de Vault.

C'est normal, ca_chain ne peut pas être affiché directement car c'est un objet complexe. Tu dois itérer dessus ou utiliser une fonction de jointure.

Essaie ça plutôt :

{{ .Data.certificate }}
{{ range .Data.ca_chain }}{{ . }}
{{ end }}

Le ca.crt du client doit impérativement contenir le Root CA. Si ton pki_int est un intermediate, assure-toi que le client possède bien la racine tout en haut.

Si tu utilises issuing_ca de l'intermediate PKI, ça ne marchera que si c'est lui-même qui a signé. Pour être safe, mets le Root CA complet dans ton trust store.

Excellent. C'est une erreur subtile car beaucoup de navigateurs web masquent le problème en téléchargeant l'intermediate manquant via AIA (Authority Information Access), mais les librairies TLS de backend comme celle de Go ne le font jamais.

Petit conseil bonus : vérifie aussi la TTL de tes certificats Vault. Si tu génères des certs de 24h via vault-agent, assure-toi que ton application recharge les fichiers sur le disque sans redémarrer, sinon tu vas avoir une autre surprise demain matin.