本文介绍在Ubuntu 18.04/Debian 9/CentOS 7/Fedora上安装Vault服务器(Hashicorp Vault Server)、配置Vault systemd服务、初始化Vault、配置Vault角色和策略及写下并获得Secrets。

简介

Hashicorp Vault是一款免费的开源工具，专为安全存储和访问机密而设计，Secrets可以是密码，API密钥，证书等，Vault Server的工作是为任何存储的Secret提供统一的接口，同时提供严格的访问控制并记录详细的审计日志。

Vault具有Web用户界面，你可以使用该界面与Vault进行交互，通过UI可以轻松创建，更新，读取和删除Secrets，进行身份验证，开封等操作。

附：Vault的功能

以下是Vault的主要功能：

Secure Secret Storage：默认情况下，Vault会在将Secrets写入持久存储之前对其进行加密。

Support for Dynamic Secrets：Vault可以按需生成Secrets，并在租约到期后撤销它们。

Leasing and Renewal：Vault中的所有Secrets都有与之相关的租约，该secret在租约结束时自动撤销，可以通过内置续订API进行续订。

Secrets Revocation：保险柜不仅可以撤销单个Secrets，还可以撤销Secrets树，例如特定用户读取的所有Secrets，或特定类型的所有Secrets。

在Ubuntu/Debian/CentOS/Fedora上安装Vault

Vault是用Go编写的，二进制包可用于主要的Unix和Linux发行版，预编译的Vault二进制文件位于https://releases.hashicorp.com/vault/页面，下面下载及使用1.0.3版本：

curl -sO https://releases.hashicorp.com/vault/1.0.3/vault_1.0.3_linux_amd64.zip

提取下载的文件：

unzip vault_1.0.3_linux_amd64.zip

sudo mv vault /usr/local/bin/

对版本的检查应与下载的版本匹配：

$ vault --version

Vault v1.0.3 ('85909e3373aa743c34a6a0ab59131f61fd9e8e43')

启用命令自动完成：

vault -autocomplete-install

complete -C /usr/local/bin/vault vault

配置Vault systemd服务

安装Vault后，让我们配置systemd服务来管理其服务，首先创建一个独特的非特权系统用户来运行Vault。

创建Vault数据目录：

sudo mkdir /etc/vault

sudo mkdir -p /var/lib/vault/data

然后创建名为vault的用户：

sudo useradd --system --home /etc/vault --shell /bin/false vault

sudo chown -R vault:vault /etc/vault /var/lib/vault/

在/etc/systemd/system/vault.service上创建Vault服务文件：

cat <

[Unit]

Description="HashiCorp Vault - A tool for managing secrets"

Documentation=https://www.vaultproject.io/docs/

Requires=network-online.target

After=network-online.target

ConditionFileNotEmpty=/etc/vault/config.hcl

[Service]

User=vault

Group=vault

ProtectSystem=full

ProtectHome=read-only

PrivateTmp=yes

PrivateDevices=yes

SecureBits=keep-caps

AmbientCapabilities=CAP_IPC_LOCK

NoNewPrivileges=yes

ExecStart=/usr/local/bin/vault server -config=/etc/vault/config.hcl

ExecReload=/bin/kill --signal HUP

KillMode=process

KillSignal=SIGINT

Restart=on-failure

RestartSec=5

TimeoutStopSec=30

StartLimitBurst=3

LimitNOFILE=65536

[Install]

WantedBy=multi-user.target

EOF

创建Vault /etc/vault/config.hcl文件：

touch /etc/vault/config.hcl

将Vault的基本配置设置添加到/etc/vault/config.hcl文件：

cat <

disable_cache = true

disable_mlock = true

ui = true

listener "tcp" {

address          = "0.0.0.0:8200"

tls_disable      = 1

}

storage "file" {

path  = "/var/lib/vault/data"

}

api_addr         = "http://0.0.0.0:8200"

max_lease_ttl         = "10h"

default_lease_ttl    = "10h"

cluster_name         = "vault"

raw_storage_endpoint     = true

disable_sealwrap     = true

disable_printable_check = true

EOF

你也可以使用Consul Storage后端，但首先你需要安装Consul，参考在Ubuntu 18.04/16.04系统上设置Consul Cluster的方法。

Consul后端的配置类似于以下内容：

storage "consul" {

address = "127.0.0.1:8500"

path    = "vault"

}

启动并启用Vault服务以在系统引导时启动：

sudo systemctl daemon-reload

sudo systemctl enable --now vault

检查服务状态，运行systemctl status vault命令，它应显示运行状态：

初始化Vault服务器

在初始化Vault服务器之前导出VAULT_ADDR环境变量：

export VAULT_ADDR=http://127.0.0.1:8200

echo "export VAULT_ADDR=http://127.0.0.1:8200" >> ~/.bashrc

将127.0.0.1替换为Vault服务器IP地址。

通过运行以下命令，使用默认选项开始初始化：

sudo rm -rf  /var/lib/vault/data/*

vault operator init > /etc/vault/init.file

访问地址如http://serverip:8200/ui中的Vault UI：

将“Unseal Keys”逐个粘贴到Unseal Vault，你可以在/etc/vault/init.file上获取密钥：

$ cat /etc/vault/init.file

Unseal Key 1: bNxZRU3azPZtzXjeS0pfGHLoif3Scs64fFk9j/FFtUN7

Unseal Key 2: kChe6UJ5+BnkU6UjSzalvjIuh01dLX8v/OMabz+uPtly

Unseal Key 3: MIRYhY1zQXZyod05tWtbgAnc14qBXM7hPHrqyEVQ7tCi

Unseal Key 4: KBVhzztVDUJRqNi2LDYfRFHThQe/iDbNdEaOFkAztMDN

Unseal Key 5: GJplvpcPVu6IQeJ3lqa5xvPfXTDA3ftgcZJT6xhrAUUL

Initial Root Token: s.RcW0LuNIyCoTLWxrDPtUDkCw

Vault initialized with 5 key shares and a key threshold of 3. Please securely

distribute the key shares printed above. When the Vault is re-sealed,

restarted, or stopped, you must supply at least 3 of these keys to unseal it

before it can start servicing requests.

Vault does not store the generated master key. Without at least 3 key to

reconstruct the master key, Vault will remain permanently sealed!

It is possible to generate new unseal keys, provided you have a quorum of

existing unseal keys shares. See "vault operator rekey" for more information.

解封Vault后，使用“初始根令牌”登录Vault：

你应该会在下一页中看到Vault Web管理面板：

你还可以从CLI查看Vault状态，运行vault status命令：

使用curl测试HTTP API端点以检查初始化状态：

$ curl http://127.0.0.1:8200/v1/sys/init

{"initialized":true}

配置Vault角色和策略

导出Vault根令牌：

export VAULT_TOKEN="s.RcW0LuNIyCoTLWxrDPtUDkCw"

将“s.BOKlKvEAxyn5OS0LvfhzvBur”替换为存储在/etc/vault/init.file文件中的初始根令牌。

然后启用approle auth方法，该方法允许计算机或应用程序使用Vault定义的角色进行身份验证：

$ vault auth enable approle

Success! Enabled approle auth method at: approle/

相同的命令可以用于其他身份验证方法，例如：

# vault auth enable kubernetes

Success! Enabled kubernetes auth method at: kubernetes/

# vault auth enable userpass

Success! Enabled userpass auth method at: userpass/

# vault auth enable ldap

Success! Enabled ldap auth method at: ldap/

使用vault auth list命令列出所有身份验证方法：

也可以从Web界面启用其他身份验证方法：

可以从Web控制台“策略(Policies)”部分管理ACL策略：

写下并获得Secrets

现在我们已经安装并配置了我们的Vault服务器，让我们在Vault中编写和检索Secrets，我们使用vault kv来写Secrets。

获取Secrets引擎路径，运行vault secrets list命令：

给你的kv secret引擎写一个secret：

$ vault kv put secret/databases/db1 username=DBAdmin

Success! Data written to: secret/databases/db1

$ vault kv put secret/databases/db1 password=StrongPassword

Success! Data written to: secret/databases/db1

你甚至可以使用单行命令来写入多个数据：

$ vault kv put secret/databases/db1 username=DBAdmin password=StrongPassword

Success! Data written to: secret/databases/db1

要获得Secret，请使用vault get命令(vault kv get secret/databases/db1)：

以json格式获取数据：

$ vault kv get -format=json secret/databases/db1

{

"request_id": "f99170b5-ac38-84ce-8668-1f280b0981c1",

"lease_id": "",

"lease_duration": 36000,

"renewable": false,

"data": {

"password": "StrongPassword",

"username": "DBAdmin"

},

"warnings": null

}

要仅打印给定字段的值，请使用：

$ vault kv get -field=username  secret/databases/db1

DBAdmin

要删除Secret，请使用：

$ vault kv delete   secret/databases/db1

Success! Data deleted (if it existed) at: secret/databases/db1

$ vault kv get   secret/databases/db1

No value found at secret/databases/db1

相关主题