Le contrôle de santé du connecteur est rouge
VaultPAM exécute des sondes de santé périodiques sur chaque connecteur ainsi que sur les hôtes de ressources qu'il dessert. Lorsque l'indicateur de santé devient rouge (ou affiche Dégradé), l'une des quatre causes en est presque toujours responsable. La perte de connectivité réseau est la plus fréquente ; les incompatibilités de version sont les moins courantes mais faciles à confirmer.
Symptômes
- La ligne du connecteur dans Connecteurs affiche un indicateur de santé rouge ou l'état Dégradé.
- Un badge de santé sur un coffre-fort spécifique indique que le connecteur qui le dessert est en mauvaise santé.
- Des alertes se déclenchent pour
ControlPlaneTunnelHeartbeatTimeoutsHighou une métrique similaire. - Les sessions lancées via le connecteur échouent ou sont lentes à se connecter.
- La santé du connecteur était verte récemment et est devenue rouge sans changement apparent.
Signification des états de santé
| État | Signification |
|---|---|
| En ligne | Le connecteur et tous les hôtes de ressources sondés sont joignables. |
| Dégradé | Le connecteur est joignable, mais au moins une sonde d'hôte de ressource échoue. |
| Hors ligne | Le connecteur n'est pas joignable depuis le plan de contrôle. |
| Récupération nécessaire | Le connecteur a perdu son identité durable et ne peut pas se reconnecter normalement. L'état interne du runtime est needs_recovery ; le connecteur ne revient pas silencieusement au jeton d'amorçage d'origine et échoue de manière sécurisée (fail closed) jusqu'à ce qu'un opérateur lance le flux de récupération contrôlé. |
Un indicateur de santé rouge correspond à Dégradé (connecteur actif, certains hôtes hors service) ou Hors ligne (connecteur lui-même injoignable).
Causes
1. Perte de connectivité réseau
L'hôte du connecteur a perdu sa voie sortante vers le plan de contrôle VaultPAM (port 443), ou un changement de politique réseau a bloqué la route.
Vérification : Depuis l'hôte du connecteur, exécutez :
curl -v https://dev.euwarden.com/healthz
Si cette commande échoue, le connecteur ne peut pas atteindre le plan de contrôle. Vérifiez également si la machine du connecteur elle-même est toujours joignable (ping, SSH ou RDP vers celle-ci).
Correction : Restaurez la voie réseau sortante. Confirmez que les pare-feu d'entreprise ou les groupes de sécurité cloud autorisent le TCP 443 depuis l'hôte du connecteur vers le plan de contrôle. Une fois la connectivité restaurée, le connecteur se reconnectera automatiquement dans les 30 secondes — aucun redémarrage manuel n'est nécessaire.
2. Hôte de ressource injoignable
Le connecteur peut être en bonne santé lui-même, mais un ou plusieurs hôtes de ressources qu'il sonde (les cibles enregistrées dans les coffres-forts connectés) sont devenus injoignables depuis le réseau du connecteur. Cela produit un état Dégradé plutôt que Hors ligne.
Vérification : Identifiez quel hôte de ressource est signalé. Dans Connecteurs → choisir le connecteur → Détails de santé, vous pouvez voir les résultats des sondes par hôte. Depuis la machine du connecteur, testez l'accessibilité de la cible affectée :
nc -zv <target-host> <target-port>
Correction : Restaurez la route depuis la machine du connecteur vers l'hôte de ressource. La sonde se rétablira au cycle de contrôle de santé suivant (généralement toutes les 60 secondes). Aucun redémarrage du connecteur n'est nécessaire.
3. Dépassement de délai de la sonde
Les sondes de santé disposent d'un délai d'expiration configurable. Si l'hôte de ressource ou le connecteur est lent à répondre — en raison d'une charge CPU élevée, d'un service bloqué ou d'une voie réseau surchargée — la sonde peut dépasser son délai même si l'hôte est techniquement joignable. Les états rouges intermittents qui se résolvent d'eux-mêmes relèvent souvent de cette catégorie.
Vérification : Ouvrez Connecteurs → choisir le connecteur → Historique de santé. Si l'état de santé bascule entre rouge et vert sans intervention, les dépassements de délai de sonde en sont la cause probable. Confirmez que l'hôte de ressource n'est pas soumis à une charge inhabituelle.
Correction : Si le délai d'expiration de la sonde est systématiquement trop court par rapport au temps de réponse normal de l'hôte, demandez à un opérateur VaultPAM d'augmenter le délai d'expiration de la sonde dans la configuration du connecteur. Si l'hôte est surchargé, traitez le problème de charge sur le système cible.
4. Incompatibilité de version du connecteur
VaultPAM publie périodiquement des mises à jour de connecteur. Si un connecteur exécute une version qui n'est plus prise en charge, le plan de contrôle peut cesser d'accepter ses rapports de santé ou le signaler comme dégradé jusqu'à ce que le connecteur soit mis à jour.
Vérification : Ouvrez Connecteurs → choisir le connecteur → Détails. Comparez le champ Version à la dernière version de connecteur prise en charge listée dans Système → Versions de connecteur ou dans les notes de version de VaultPAM.
Correction : Mettez à jour le connecteur vers la version actuellement prise en charge. La procédure de mise à jour dépend de la méthode de déploiement :
- Docker : récupérez la dernière image et recréez le conteneur.
- Natif / VM : téléchargez le binaire mis à jour et redémarrez le service.
- Kubernetes : mettez à jour le tag d'image dans le manifeste de déploiement et appliquez-le.
Après la mise à jour, le connecteur se réappariera en utilisant son identité durable existante — aucun nouveau jeton d'enrôlement n'est nécessaire.
5. Récupération nécessaire
Si l'état est Récupération nécessaire, le connecteur a perdu son identité durable et ne se rétablira pas via les causes ordinaires de santé rouge ci-dessus.
Vérification : Ouvrez Connecteurs et confirmez que l'état est Récupération nécessaire plutôt que Dégradé ou Hors ligne.
Correction : Suivez Mon connecteur est hors ligne et utilisez la branche de récupération guidée. Ne continuez pas à réessayer les étapes ordinaires de récupération de santé de cet article.
Étapes de résolution
- Ouvrez Connecteurs → choisir le connecteur et notez si l'état est Dégradé (connecteur actif, hôtes hors service), Hors ligne (connecteur injoignable) ou Récupération nécessaire. S'il s'agit de Récupération nécessaire, arrêtez-vous ici et suivez Mon connecteur est hors ligne.
- Si Hors ligne : depuis l'hôte du connecteur, exécutez
curl -v https://dev.euwarden.com/healthz. En cas d'échec, restaurez la voie réseau sortante vers le plan de contrôle. - Si Dégradé : vérifiez quelles sondes d'hôtes de ressources échouent dans Connecteurs → choisir le connecteur → Détails de santé. Depuis la machine du connecteur, exécutez
nc -zv <target-host> <target-port>pour chaque hôte en échec et restaurez la connectivité. - Si l'état bascule par intermittence sans intervention, recherchez des dépassements de délai de sonde et une charge des hôtes de ressources.
- Comparez la version du connecteur à la version prise en charge. Mettez à jour si elle est obsolète.
- Après toute correction, attendez 60 à 90 secondes et actualisez la page Connecteurs. L'indicateur de santé se met à jour automatiquement au cycle de sonde suivant.
Voie d'escalade
Si le contrôle de santé reste rouge après avoir traité les quatre causes :
- Notez le nom du connecteur, l'état actuel et l'heure à laquelle l'état de santé a changé.
- Collectez les journaux du connecteur (200 dernières lignes) :
- Docker :
docker logs -n 200 vaultpam-connector - systemd :
journalctl -u vaultpam-connector -n 200
- Docker :
- Incluez la sortie de
curl -v https://dev.euwarden.com/healthzdepuis l'hôte du connecteur. - Ouvrez un ticket de support avec : le nom du connecteur, l'état, la sortie des journaux et les résultats du test de connectivité réseau.