Доброго времени. Очередной вопрос по хранению кредов. У меня сейчас

Question

Доброго времени. Очередной вопрос по хранению кредов. У меня сейчас

всё в разных местах, что-то в ansible-vault, что-то в коде в gpg, что-то keepass и т.п.
Давно есть желание всё это привести более-менее к общему виду, но как лучше сделать пока не складывается. Много кто рекомендует решения типа Hashicorp Vault, там плюсамм идут удобство, аудит, динамические секреты и прочие плюхи.
Но ведь всё равно в коде или в том же плейбуке будет опять же лежать токен доступа к хранилищу. И если секрет не динамический и токен более-менее долгосрочный, то любой кто имеет доступ к этому коду-плейбуку может соответственно легко получить и секреты по этому токену из хранилища. Как тогда защищать сам токен? Проблема "курицы и яйца" то никуда не денется получается.
Или я просто что-то не допонимаю в концепции пользования этого Vault?

#devops #programming #russian

0

26.08.2021

11 ответов

21 просмотр

elBobrKurwa

в волте вроде бы можно дать доступ по айпи и прочему.. без токена. но вопрос в другом, если у кого то есть доступ до хоста, то защищать придется всё подряд

0

26.08.2021

Nikolai

в какой среде идет развертывание ?

0

26.08.2021

Александр Автор вопроса

Nikolai
в какой среде идет развертывание ?

99% на обычных виртуалках в разных арендуемых ДЦ (не облака)

0

26.08.2021

Александр Автор вопроса

elBobrKurwa
в волте вроде бы можно дать доступ по айпи и проче...

т.е. привязка к CIDR получается есть, надо покурить повнимательнее доку значит

0

26.08.2021

George Gaál

Волт позволяет тебе аудитить запросы

0

26.08.2021

AlexD

https://learn.hashicorp.com/tutorials/vault/secure-introduction?in=vault/app-integration

0

26.08.2021

Александр Автор вопроса

AlexD
https://learn.hashicorp.com/tutorials/vault/secure...

я так понимаю мне надо будет либо на уровне оркестратора, т.е. на Ansible в моём случае сделать один какой-то "глобальный" токен со всеми сразу доступами-привилигеиями, либо уже на каждой ВМ внедрять Vault-агента со своими доступами

0

26.08.2021

Vasiliy Angapov

Александр
я так понимаю мне надо будет либо на уровне оркест...

а инфра на чем? облако? кубер? вмваря?

0

26.08.2021

Александр Автор вопроса

Vasiliy Angapov
а инфра на чем? облако? кубер? вмваря?

просто обычные виртуалки на проксмоксах в разных арендованных ЦОД, без облаков

0

26.08.2021