HashiCorp库:秘密后端

Question

我对一些hashicorp库概念有点困惑。我们打算使用IoC技术(流浪和地形)创建一个基础设施。此外，我们正在使用厨师，以提供机器。

我们正在努力解决秘密分发的问题。我们正在努力理解Vault，尽管如此，仍有一些问题我们还没有完全解决。

为什么我需要几个秘密后端？我只想传播凭据(mongo、elasticsearch、mysql)、API令牌(AWS S3、Stripe)和CA证书。为什么我需要使用一个特殊的后端(数据库秘密后端，AWS秘密后端，.)

Answer 1

一般来说，保险库的整个目标是使秘密易于更改、旋转等等。因此，如果/当出现漏洞时，将一切都重置为新的秘密是微不足道的。这就是为什么我们有不同的后端，比如postgres。每次您进入保险库并请求PG连接信息(即用户/pass/ etc )时，它都会为您创建它，动态地将其转换为自动过期，等等。

这种方法的好处很重要。第一，秘密只有在他们需要的时候才会持续。一旦你的程序停止运行(无论出于什么原因)，秘密就会消失。而且，每个程序都有一个唯一的用户/传递，所以如果有漏洞，您就可以准确地知道是哪个应用程序负责，您可以轻松地重新启动它(在一个新的节点/实例上)，并让您的程序再次运行(具有新的凭据，等等)，然后找出该漏洞是如何发生的，并修复该漏洞。

另外，金库有一个非常稳健的审计跟踪，所以每一个秘密访问，每一个秘密生成，等等都是以一种强有力的，可验证的方式审计，这真的是伟大的，当你有一个漏洞。

如果您需要或不需要这些功能，那么只有您才能弄清楚。如果您不需要，或者刚刚开始，您可以使用通用的秘密后端，只需将用户/传递存储在那里。