💡 [REQUEST] - Documenter la migration et la purge des anciens groupes Keycloak d’environnement #132

Description

Écart relevé en croisant la Release Note 9.28.0, les tickets et PR documentaires, la branche main et le contenu du site public.

La PR #129, déjà fusionnée, corrige la hiérarchie Keycloak et la fiche IAM : ne pas refaire ce travail. Cependant, la fiche publique relue lors de cet audit décrit encore les groupes /<slug>/console/<env>/RO et RW comme maintenus par la console. Ni la correction fusionnée ni le guide d’installation ne donnent la procédure de migration des projets existants.

Depuis la console 9.28.0, ces groupes ne sont plus créés ni synchronisés, mais restent présents jusqu’à une purge manuelle après déploiement. Ils peuvent continuer à alourdir les jetons et maintenir le risque Request Header Or Cookie Too Large. ArgoCD utilise les groupes des rôles projet : la portée devient celle du projet, et un développeur peut voir les applications de ses différents environnements.

Contenu documentaire attendu

• Distinguer les nouveaux projets des projets possédant encore les anciens groupes ; rendre explicites le public concerné et le moment de l’intervention.
• Établir avec l’exploitation la procédure de purge, son périmètre exact, ses prérequis et l’ordre des vérifications des accès ArgoCD avant et après intervention. Ne pas transformer les étapes encore à clarifier dans la Release Note en commandes supposées sûres.
• Expliquer la nouvelle portée des droits ArgoCD, la persistance des anciens groupes et le risque en l’absence de nettoyage.
• Exclure explicitement les groupes Grafana et les robots Harbor du nettoyage.
• Vérifier la publication du contenu de doc: retirer les groupes environnement RO/RW de la hiérarchie Keycloak #129 et relier la procédure depuis les pages concernées, sans dupliquer les fiches RBAC.

Pages concernées

• https://cloud-pi-native.fr/guide/rbac/keycloak#_2-hierarchie-de-groupes-maintenue-par-la-console
• https://cloud-pi-native.fr/platform/iam
• https://cloud-pi-native.fr/installation/installation

Références

• fix(server-nestjs): cesser de créer les groupes environnement RO/RW console#2868
• 🐛 [BUG] - Le claim groups explose avec le nombre d'environnements : cookie trop volumineux pour le proxy console#2867
• doc: retirer les groupes environnement RO/RW de la hiérarchie Keycloak #129 (modèle corrigé, sans procédure de purge)

Définition du fini

• La procédure validée par l’exploitation précise qui intervient, sur quels projets, quand, avec quelles vérifications et quelles limites de récupération.
• Les groupes ciblés sont identifiés sans ambiguïté ; Grafana, robots Harbor et groupes de rôles projet sont préservés.
• Les conséquences sur les accès ArgoCD et sur les jetons sont expliquées sans annoncer une purge automatique.
• Le contenu de doc: retirer les groupes environnement RO/RW de la hiérarchie Keycloak #129 et la procédure sont accessibles et relus sur le site public.