Вопросы по герметизации HashiCorp Vault

Question

Я начал играть с Хранилищем Хашикорпа, чтобы управлять секретами, и у меня возникли некоторые вопросы о повседневной печати Хранилища. Мой рабочий процесс имеет два аутентификационных бэкэнда; определенные пользователи получают доступ к Vault с правом записи для добавления новых секретов, серверы имеют доступ только для чтения к нужным им секретам.

1) В обычных условиях Хранилище находится в открытом состоянии? Я полагаю, что как динамически настроенный сервер не должен координировать распечатку.

2) Является ли целью запечатывания постороннего персонала вращение ключей и в случае вторжения?

3) Как лучше всего убедиться, что процесс хранилища всегда запущен, так как если он умрет, хранилище будет запечатано? Кроме того, в конфигурации высокой доступности, если процесс одного узла Vault умирает, запечатывает ли он Vault для всех?

Answer 1

Я задал этот вопрос в Vault Google Group, и это был лучший ответ:

1) Under normal circumstances, does the Vault stay in an unsealed state? I believe it would as a dynamically provisioned server should not have to coordinate an unseal.

Да. Как только хранилище инициализировано и распечатано, оно "обычно" остается в незапечатанном состоянии.

2) Is the purpose of sealing to off-board staff to rotate keys and in case of an intrusion?

Запечатывание Vault позволяет механизм под ключ, чтобы остановить все службы Vault. Для возобновления работы Vault потребуется определенное количество открытых ключей.

3) What's the best practice for ensuring the vault process is always running, since if it dies the Vault will seal? Also, in a highly available configuration, if one Vault node's process dies, does it seal the Vault for everyone?

Официальных рекомендаций по наилучшей практике для этого не существует. Но запуск Vault в выделенном экземпляре / кластере с очень ограниченным доступом к его памяти. Запуск Vault в режиме высокой доступности с помощью бэкэнда, который его поддерживает, это хорошо. Если какой-либо из узлов кластера выйдет из строя или процесс Vault будет перезапущен, он будет находиться в запечатанном состоянии и потребует выполнения незапечатанной операции, чтобы сделать его работоспособным.

Бест, Вишал

Answer 2

Взято из https://www.vaultproject.io/docs/concepts/seal.html:

1. "При нормальных обстоятельствах Хранилище остается в открытом состоянии?" -

Когда сервер Vault запущен, он запускается в запечатанном состоянии. В этом состоянии Vault настроен на то, чтобы знать, где и как получить доступ к физическому хранилищу, но не знает, как его расшифровать.

Распечатывание - это процесс создания мастер-ключа, необходимого для считывания ключа дешифрования для дешифрования данных, позволяющего получить доступ к хранилищу.

До распечатывания с Vault практически невозможно выполнить какие-либо операции. Например, аутентификация, управление таблицами монтирования и т. Д. - все это невозможно. Единственными возможными операциями являются распечатывание хранилища и проверка состояния распечатывания.

2. "Является ли целью запечатывания посторонних сотрудников вращать ключи и в случае вторжения?" -

Таким образом, при обнаружении вторжения данные Vault могут быть заблокированы
быстро попытаться свести к минимуму убытки. Он не может быть снова доступен без доступа к осколкам мастер-ключа.

3. "так как, если он умрет, Хранилище будет запечатано?" - да.