Vault: работа с секретами

Создание и управление секретами

Vault поддерживает разные виды секретов: статические (например, пароли) и динамические (например, учетные данные для базы данных, которые Vault сам генерирует).

Статические секреты

1. Включение секретного хранилища (если оно еще не включено):
   
   Shell

   vault secrets enable -path=secret kv

   1 2	vault secrets enable -path=secret kv

   Этот пример включает хранилище KV по пути secret/.
2. Запись секрета:
   
   Shell

   vault kv put secret/mysecret value="SuperSecretValue"

   1 2	vault kv put secret/mysecret value="SuperSecretValue"

    
3. Чтение секрета:
   
   Shell

   vault kv get secret/mysecret

   1 2	vault kv get secret/mysecret

    
4. Удаление секрета:
   
   Shell

   vault kv delete secret/mysecret

   1 2	vault kv delete secret/mysecret

    

Динамические секреты

Для динамических секретов Vault может сам создавать и управлять учетными данными для внешних сервисов (например, AWS или базы данных).

1. Подключение к базе данных (например, PostgreSQL):
   
   Shell

   vault secrets enable database vault write database/config/my-postgresql-database \ plugin_name=postgresql-database-plugin \ connection_url="postgresql://{{username}}:{{password}}@localhost:5432/dbname" \ allowed_roles="my-role" \ username="admin" \ password="adminpassword"

   1 2 3 4 5 6 7 8

   vault secrets enable database vault write database/config/my-postgresql-database \     plugin_name=postgresql-database-plugin \     connection_url="postgresql://{{username}}:{{password}}@localhost:5432/dbname" \     allowed_roles="my-role" \     username="admin" \     password="adminpassword"

    
2. Создание роли для управления динамическими секретами:
   
   Shell

   vault write database/roles/my-role \ db_name=my-postgresql-database \ creation_statements="CREATE ROLE \"{{name}}\" WITH LOGIN PASSWORD '{{password}}' VALID UNTIL '{{expiration}}';" \ default_ttl="1h" \ max_ttl="24h"

   1 2 3 4 5 6

   vault write database/roles/my-role \     db_name=my-postgresql-database \     creation_statements="CREATE ROLE \"{{name}}\" WITH LOGIN PASSWORD '{{password}}' VALID UNTIL '{{expiration}}';" \     default_ttl="1h" \     max_ttl="24h"

    
3. Запрос динамических учетных данных:
   
   Shell

   vault read database/creds/my-role

   1 2	vault read database/creds/my-role

   Vault выдаст учетные данные, действительные в течение времени, указанного в ttl.

Настройка политик доступа

Политики в Vault позволяют управлять доступом к секретам. Для создания политики доступа нужно написать файл политики (например, my-policy.hcl):