Add config/openbao.hcl

config/openbao.hcl

@@ -0,0 +1,40 @@
+
+# /opt/openbao/config/openbao.hcl (monté en lecture seule sur /openbao/config)
+
+ui = true
+
+# Le stockage intégré (raft/bolt) memory-mappe sa base : verrouiller toute
+# la mémoire avec mlock est contre-productif. C'est la recommandation amont
+# pour l'integrated storage. Contrepartie : s'assurer que le swap est
+# désactivé sur l'hôte (`swapon --show` doit ne rien renvoyer).
+disable_mlock = true
+
+storage "raft" {
+  path    = "/openbao/data"
+  node_id = "openbao-sldokp03"
+}
+
+listener "tcp" {
+  address     = "0.0.0.0:8200"
+  tls_disable = 1
+
+  # Traefik est le seul client réseau : on lui fait confiance pour l'IP
+  # réelle (déjà restaurée en amont par cloudflarewarp).
+  x_forwarded_for_authorized_addrs   = ["172.16.0.0/12"]
+  x_forwarded_for_reject_not_present = false
+}
+
+audit "file" "file" {
+  description = "Journal d'audit local"
+
+  options = {
+    file_path = "/openbao/logs/audit.log"
+  }
+}
+
+# Adresse annoncée aux clients et utilisée pour les redirections de l'UI.
+api_addr     = "https://openbao.tips-of-mine.com"
+cluster_addr = "http://openbao-app:8201"
+
+log_level = "info"
+