fix 004

README.md

@@ -55,7 +55,7 @@ inventaire et vault versionnés, collections déclarées dans `collections/`.
 │   ├── main.yml                  # réseaux, DNS, proxy, comptes, supervision, activation des rôles
 │   └── vault.yml.example         # à copier vers vault.yml, chiffrer, puis versionner
 ├── files/
-│   ├── keys/<utilisateur>/*.pub  # clés publiques SSH (versionnées)
+│   ├── keys/*.pub                # clés publiques SSH, attribuées par ssh_users[].keys
 │   └── ca/*.crt                  # certificats racine internes (versionnés)
 ├── roles/                        # common, proxy, dns, updates, ssh, firewall, fail2ban,
 │                                 # os_hardening, snmp, nrpe, glpi_agent
@@ -68,8 +68,9 @@ inventaire et vault versionnés, collections déclarées dans `collections/`.
 1. **Inventaire** : renseigner `inventory/hosts.yml`. Deux modes de connexion :
    - compte de service `ansible` + sudo (`become` est activé dans `ansible.cfg`) ;
    - root par clé, comme sur les VM Terraform : `ansible_user: root`, `become` est alors sans effet.
-2. **Clés publiques** : un répertoire par compte dans `files/keys/`, un ou plusieurs
-   fichiers `*.pub` dedans. Le compte utilisé par Ansible **doit** y avoir une clé.
+2. **Clés publiques** : fichiers `*.pub` à plat dans `files/keys/`, attribués aux comptes
+   par `ssh_users[].keys` dans `group_vars/all/main.yml`. Le compte utilisé par Ansible
+   (root) **doit** y avoir la clé de Semaphore.
 3. **Certificat racine** (facultatif) : `files/ca/root-ca.crt` au format PEM.
 4. **Secrets** : `cp group_vars/all/vault.yml.example group_vars/all/vault.yml`,
    renseigner, puis `ansible-vault encrypt group_vars/all/vault.yml`.