Assafa Distribution : plus personne n'entre dans Azure, la console AWS ni les outils internes, et la CI ne déploie plus

Assafa Distribution (82 supermarchés, 3 000 salariés, siège à Tanger) a un annuaire Active Directory sur site et une ferme AD FS (sts.assafa-distribution.ma). Tout part de là :

• le domaine assafa-distribution.ma est fédéré dans Entra ID : chaque connexion à Azure, Microsoft 365, et aux applications d'entreprise passe par AD FS ;
• IAM Identity Center (organisation AWS, 14 comptes) a Entra ID comme source d'identité ;
• les outils internes sur AKS (Grafana, Argo CD) s'authentifient par Entra ID ;
• la CI (runner runner-ci-01) déploie en production avec saml2aws : AD FS → fournisseur SAML IAM ADFS-Assafa → rôle ci-deploy-prod.

Depuis 02:00, plus aucune connexion fédérée ne passe. Les caisses fonctionnent (hors ligne), mais la mise à jour des prix de la promotion de la semaine — qui doit être déployée avant l'ouverture des magasins à 09:00 — est bloquée, et les équipes ne peuvent même pas ouvrir la console pour agir à la main.

Vous êtes sur le poste d'astreinte : l'AWS CLI utilise le compte de secours (break-glass) et az un principal de service à certificat — tous deux hors fédération. Accès SSH à adfs-01 (OpenSSH, PowerShell, module Microsoft Graph), runner-ci-01 et bastion-aks.