Знакомы ли вы с HashiCorp Vault?

Что такое HashiCorp Vault?

HashiCorp Vault — это инструмент с открытым исходным кодом для безопасного хранения и управления секретами. Секретами могут быть пароли, ключи API, токены доступа, сертификаты и другие конфиденциальные данные. Vault предоставляет централизованное решение для доступа к этим данным, обеспечивая их шифрование, контроль доступа и аудит.

Основные возможности

• Динамические секреты: Vault может генерировать секреты по требованию (например, временные учетные записи в базе данных), которые автоматически истекают после использования.
• Шифрование данных: Vault предоставляет сервис шифрования/дешифрования данных без необходимости управлять ключами.
• Детальный контроль доступа: Политики (Policies) определяют, кто и к каким секретам имеет доступ.
• Аудит: Все операции с секретами логируются для последующего анализа.

Пример использования

Рассмотрим пример получения динамического секрета для базы данных PostgreSQL с помощью HTTP API Vault.

# Включить движок базы данных в Vault
vault secrets enable database

# Настроить подключение к PostgreSQL
vault write database/config/my-postgres-database \
    plugin_name=postgresql-database-plugin \
    allowed_roles="my-role" \
    connection_url="postgresql://{{username}}:{{password}}@localhost:5432/mydb" \
    username="vault_user" \
    password="vault_password"

# Создать роль для генерации учетных данных
vault write database/roles/my-role \
    db_name=my-postgres-database \
    creation_statements="CREATE USER \"{{name}}\" WITH PASSWORD '{{password}}' VALID UNTIL '{{expiration}}'; GRANT SELECT ON ALL TABLES IN SCHEMA public TO \"{{name}}\";" \
    default_ttl="1h" \
    max_ttl="24h"

# Получить динамические учетные данные
vault read database/creds/my-role

В результате Vault вернет временное имя пользователя и пароль, которые будут действительны в течение 1 часа.

Вывод

HashiCorp Vault следует применять в любой инфраструктуре, где требуется централизованное, безопасное и аудируемое управление секретами. Он особенно полезен в микросервисных архитектурах, при использовании CI/CD пайплайнов и в облачных средах, где динамические секреты и автоматическое управление доступом критически важны для безопасности.