А на тачки с волтом по ssh кто ходить может?

Канэшн владелец сервиса может :) иначе это бы были не мы :)

Простите за задержку, я простужен. Рут токены удалены. Ключи храним в репозитории в зашифрованном виде. Каждый владелец ключа может расшифровать с помощью своего pgp ключа. Поэтому не страшно хранить в репе. + после рекея старые бэкапы можно расшифровать только старыми ключами, так что если придётся восстанавливать бэкап до смены ключа, надо старые ключи

Все изменения катит сервисная учётка порезанная по правам, но с достаточными правами для внесения изменений. Т.е. секрет прочитать не может, но secret engine примонтировать - легко

Хочу дополнить: в аудит логах волта до сих пор не логируются попытки выпустить рут токен. Т.е. не удастся узнать до авторизации что кто-то получил рут токен. Однако алерт на авторизацию можно повесить без проблем. Т.к. волт не будет выполнять операции пока не отпишет хотя бы в одно устройство для логирования действий (audit device).

А как вы алертите по аудит логам?

Грейлог орёт как только видит нужный набор символов. Т.е. если display_name: root - это плохо.

Аналогично можно настроить в ELK

ML ищет аномалии - если есть алертит 😃

(у нас не так) Ж)

Как храните токены для доступа в vault? 😂 У меня сервис сам при старте берет секреты котрые нужны из него. Встал вопрос как быть с токеном?

Если approle то токен можно сделать периодическим и продлевать. Сам токен при этом не будет меняться, будет меняться время его жизни, обнуляться. Менять политики при таком "вечном" токене не пробовал, поэтому не скажу работает ли.
Если userpass - то авторизовываться
Если именно токен выпускаете, то прдумывайте как выпускать и скармливать приложению, ну или пусть само прилоение будет уметь выпустить себе токен, но это та ещё дырка, т.к. нельзя сказать что ты можешь выпустить токен только с такими политиками.

Ещё есть vault agent approle он может за приложение ходить и approle токен получать, а далее складывать в файлик на машине, к сожалению только в файлик.

Спсибо, посмотрю

если политика не изменится, можно перевыпускать токен с тем же именем, но другими политиками vault token create -id ...

Звучит как проблема курицы и яйца все равно, и без третьей точки - разница с передачей кредов в окружении - минимальна)

вывод - нечего и начинать

какие бенефиты получились?

Не совсем. При использовании approle строго задаются политики именно учётки, их можно менять, но необходимы права. А при токене - ты каждый раз указываешь с какими политиками будет создан токен.

Кстати

В блоге компании Gruntwork вышла серия статей про автоматизацию HashiCorp Vault.
Рассматривается auto-unseal и аутентификация с помощью метаданных инстанса и IAM для AWS и GCP.

* http://amp.gs/Vr1L
* http://amp.gs/Vr1Q
* http://amp.gs/Vr1o

#gruntwork #vault #aws

Весь смысл unseal в том чтобы он делался вручную...

Если поднимать много маленьких vault, автоансил может иметь смысл.