Есть consul, vault и consul-template. для vault хранилищем является conul. есть

Question

Есть consul, vault и consul-template. для vault хранилищем является conul. есть

intellij space CI (да это и не важно, можно и в гитлабе), там деплой приложения. на сервере consul template следит за конфигурацией в консуле и секретами в волте.

вопрос: какая бест практика обычно используется для токена для консул темплейта? кто его выпускает и переобновляет?

p.s. ни кубера, ни номада нет

#programming #russian

0

08.05.2023

14 ответов

23 просмотра

Artur Karapetov Автор вопроса

никто не знает или я плохо вопрос задал?

0

08.05.2023

Dmitry Sergeev 🇺🇦

it depends вопросы вряд-ли могут иметь бест практики

0

08.05.2023

Artur Karapetov Автор вопроса

Dmitry Sergeev 🇺🇦
it depends вопросы вряд-ли могут иметь бест практи...

тут вопрос такой вот я выпустил токен, у него max lease time 3 days, а lease time 1 day. вот подсунул его консул темплейту, проходит 1 день - консул темплейт прекрасно обновляет токен, но когда пройдет 3 дня, он уже не сможет обновлять токен и что делать в таком случае? руками нести новый токен?

0

08.05.2023

bama^boy

Artur Karapetov
тут вопрос такой вот я выпустил токен, у него max...

Новый обновленный токен имеет новый ttl

0

08.05.2023

Artur Karapetov Автор вопроса

bama^boy
Новый обновленный токен имеет новый ttl

но не max lease ttl

0

08.05.2023

bama^boy

Artur Karapetov
но не max lease ttl

The lease duration is a Time To Live value: the time in seconds for which the lease is valid. A consumer of this secret must renew the lease within that time.

0

08.05.2023

Artur Karapetov Автор вопроса

bama^boy
The lease duration is a Time To Live value: the ti...

как я понял: есть lease ttl: 1 day есть max lease ttl: 5 days то есть 5 дней все будет ок и будет обновляться, а вот через 5 дней токен просто протухнет

0

08.05.2023

bama^boy

Artur Karapetov
как я понял: есть lease ttl: 1 day есть max lease...

Нет, max_lease_ttl – Specifies the maximum possible lease duration for tokens and secrets.

0

08.05.2023

bama^boy

Artur Karapetov
как я понял: есть lease ttl: 1 day есть max lease...

Т.е. токен может позволить перевыпустить другой токен со сроком жизни больше родительского.

0

08.05.2023

Artur Karapetov Автор вопроса

bama^boy
Т.е. токен может позволить перевыпустить другой то...

но если родительский умирает то умирают все и дети

0

08.05.2023

bama^boy

Только в случае revoke.

0

08.05.2023

Artur Karapetov Автор вопроса

bama^boy
Только в случае revoke.

не только. если у родителя истек ТТЛ дети тоже ревокнутся https://support.hashicorp.com/hc/en-us/articles/360034820694-Parent-Child-Token-Hierarchy

0

08.05.2023

bama^boy

Artur Karapetov
не только. если у родителя истек ТТЛ дети тоже рев...

Да, зависит от типа токена. Orphan токены не зависят от родительских, а batch не обновляются вообще. Для разных задач нужно выбирать разные токены. https://developer.hashicorp.com/vault/tutorials/tokens/batch-tokens

0

09.05.2023

Nick Kritsky 🇺🇦 · Accepted Answer

Nick Kritsky 🇺🇦

Artur Karapetov
никто не знает или я плохо вопрос задал?

Я не знаю. Бест практика дело такое. Её может и не быть

0

08.05.2023

169 похожих чатов

Есть consul, vault и consul-template. для vault хранилищем является conul. есть

14 ответов

Похожие вопросы