кластере номад? Consul/Vault например в отдельной подсети?
У нас так: vault в отдельной, и очень серьезно контролируемой сети, Consul + Nomad в одном L2 живут по сути
бравые молодчики с автоматами охраняют ?
не удивлюсь если так 😂😂.
А как организован доступ к секретам vault из контейнеров?
А сторадж у вольта - консул?
Нативная реализация с AppRole , приложение при запуске в номаде получает RoleID и одноразовый токен для доступа к SecretID, затем само генерирует токены для доступа к секретам с коротким лайфтаймом
раньше был отдельный консул (отдельный от того, что под номад). Когда волдт научился в рафт, перешли на рафт нативный
RoleID и SectetID при запуске через env прокидываются или по апи идет запрос к vault?
RoleID публичный. Так что через Env. Для SecretID там выдается разовый токен для доступа, с которым вначале приложение авторизуется и получает SecretID из самого волта (после этого одноразвывй токен уже не действует) и дальше уже авторизуется через RoleID+SecretID. Вот тут прям почти 1в1 где code example- https://www.vaultproject.io/docs/auth/approle
Обсуждают сегодня