HashiCorp Vault密封问题

Question

我已经开始使用Hashicorp的Vault来管理机密,并对Vault密封的日常工作提出了一些疑问.我的工作流程有两个身份验证后端; 特定用户访问具有写访问权限的Vault以添加新密钥,服务器可以只读访问他们需要的秘密.

1)在正常情况下,保险柜是否处于未密封状态？我相信它作为一个动态配置的服务器不应该协调一个unseal.

2)密封离开工作人员的目的是旋转钥匙和入侵？

3)确保保险库过程始终在运行的最佳做法是什么,因为如果它死了,保险柜会密封？此外,在高可用性配置中,如果一个Vault节点的进程终止,它是否会为每个人密封Vault？

Answer 1

我在Vault Google Group上提出了这个问题,这是最好的回答:

1) Under normal circumstances, does the Vault stay in an unsealed state? I believe it would as a dynamically provisioned server should not have to coordinate an unseal.

是.一旦Vault初始化并且未密封,它通常会保持未密封状态.

2) Is the purpose of sealing to off-board staff to rotate keys and in case of an intrusion?

密封保险库使转向密钥机制能够停止保险柜的所有服务.需要特定数量的非密封密钥持有者才能使Vault再次运行.

3) What's the best practice for ensuring the vault process is always running, since if it dies the Vault will seal? Also, in a highly available configuration, if one Vault node's process dies, does it seal the Vault for everyone?

没有正式的最佳实践建议.但是在专用实例/群集中运行Vault,其内存非常有限/无法访问.使用支持它的后端在HA模式下运行Vault是好的.如果任何群集节点发生故障或Vault程序重新启动,它将处于密封状态,并且需要执行解封操作才能使其正常运行.

最好的,Vishal