Vaultに入門する
先日おうちk8sクラスタにVaultを構築したので、Vaultを完全理解するため入門する。
https://github.com/hashicorp-japan/vault-workshop-jp をベースにやっていく。
Vault CLIのインストール
公式ドキュメントに沿ってインストールする。
sh
$ brew tap hashicorp/tap
$ brew install hashicorp/tap/vault
$ vault --version
Vault v1.14.0 (13a649f860186dffe3f3a4459814d87191efc321), built 2023-06-19T11:40:23ZHello Vault
Vaultサーバーにログインする。tokenは構築時にメモしたRoot Tokenを使う。 問題なければtokenなどが表示される。
sh
$ export VAULT_ADDR=http://pi1:30820
$ vault login
Token (will be hidden):
Success! You are now authenticated. The token information displayed below
is already stored in the token helper. You do NOT need to run "vault login"
again. Future Vault requests will automatically use this token.
Key Value
--- -----
token xxxxxxxxxxxxxxxxxx
token_accessor xxxxxxxxxxxxxxxx
token_duration ∞
token_renewable false
token_policies ["root"]
identity_policies []
policies ["root"]こちらによると、Root Tokenは最初の設定に使ったあとに破棄して新しいtokenを作ったほうが良いらしいが、一旦後回し。
現在有効になっているシークレットエンジンを確認する。
sh
$ vault secrets list
Path Type Accessor Description
---- ---- -------- -----------
cubbyhole/ cubbyhole cubbyhole_f62d42bd per-token private secret storage
identity/ identity identity_c3977962 identity store
sys/ system system_4095113b system endpoints used for control, policy and debuggingシークレットエンジンとは
公式ドキュメントを読むと、エンジンは以下のことをするようだ
名前の通りって感じ
- データを保存、生成、暗号化する
- シークレットエンジンはReidsなどのようなKVから 他のサービスなどに接続して動的クレデンシャルを生成するするものがある
- Vaultへのリクエストがシークレットエンジンに転送され処理される
- シークレットエンジンは仮想ファイルシステムに似た振る舞い（読み書きなど）をする
これで準備は整ったので簡単なkvから触ってみる。
こちらに沿ってやってみる。
sh
# KVのシークレットエンジンを有効化
$ vault secrets enable -path=kv -version=2 kv
Success! Enabled the kv secrets engine at: kv/
# バージョンニングを有効にする
$ vault kv enable-versioning kv
Success! Tuned the secrets engine at: kv/
# データを保存
$ vault kv put kv/iam name=kabu password=passwd
== Secret Path ==
kv/data/iam
======= Metadata =======
Key Value
--- -----
created_time 2023-06-25T09:01:32.457141967Z
custom_metadata <nil>
deletion_time n/a
destroyed false
version 1
# 保存したデータを取得
$ vault kv get kv/iam
== Secret Path ==
kv/data/iam
======= Metadata =======
Key Value
--- -----
created_time 2023-06-25T09:01:32.457141967Z
custom_metadata <nil>
deletion_time n/a
destroyed false
version 1
====== Data ======
Key Value
--- -----
name kabu
password passwdポリシーを使ってアクセスを制御する
こちらに沿ってやっていく。
最初にトークンについて以下の説明があった。
ここまでRoot Tokenを利用して様々なシークレットを扱ってきましたが、実際の運用では強力な権限を持つRoot Tokenは保持をせずに必要な時のみ生成します。通常、最低限の権限のユーザを作成しVaultを利用していきます。また認証も直接トークンで行うのではなく信頼できる認証プロバイダに委託することがベターです。
基本的に認証プロバイダに委託してトークンをもらい、それを使うのが一般的らしい。
早速ポリシーについて確認する。
sh
# ポリシー一覧
$ vault list sys/policy
Keys
----
default
root
# defaultのポリシーのcapabilitiesを確認
$ vault read sys/policy/default
Key Value
--- -----
name default
rules # Allow tokens to look up their own properties
path "auth/token/lookup-self" {
capabilities = ["read"]
}
# Allow tokens to renew themselves
path "auth/token/renew-self" {
capabilities = ["update"]
}
...各endpointにcapabilitiesがあって、それがどんな権限があるかを表している。
試しにdefaultのポリシーのtokenを発行してさっき作ったkvにアクセスできるかを確認する。
sh
$ vault token create -policy=default
Key Value
--- -----
token xxxxxxxxxxx
token_accessor xxxxxxxxxxx
token_duration 768h
token_renewable true
token_policies ["default"]
identity_policies []
policies ["default"]
$ export DEFAULT_TOKEN=xxxxxxxxxxxx
$ export ROOT_TOKEN=xxxxxxxxxx
$ VAULT_TOKEN=$DEFAULT_TOKEN vault kv get kv/iam
Error making API request.
URL: GET http://pi1:30820/v1/sys/internal/ui/mounts/kv/iam
Code: 403. Errors:
* preflight capability check returned 403, please ensure client's policies grant access to path "kv/iam/"新しくポリシーを作って、tokenを作ってkvにアクセスできるようにしてみる。
sh
$ nvim my-kv-policy.hcl
path "kv/*" {
capabilities = ["read", "list"]
}
# ポリシーを作成
$ VAULT_TOKEN=$ROOT_TOKEN vault policy write my-kv-policy my-kv-policy.hcl
Success! Uploaded policy: my-kv-policy
# 作成されたことを確認する
$ vault policy read my-kv-policy
path "kv/*" {
capabilities = ["read", "list"]
}
# ポリシーに紐付けられたtokenを発行する
$ VAULT_TOKEN=$ROOT_TOKEN vault token create -policy=my-kv-policy
Key Value
--- -----
token hvs.CAESIAnw8Nr1R88ZrRXOSdLP6crtbQzJfTsjiwRy2471eJ1-Gh4KHGh2cy5wejI4M1dNWENEdnZtZE9jM1NaT0o3YkI
token_accessor xj6liTAQe4g65uaAPNm8ZasN
token_duration 768h
token_renewable true
token_policies ["default" "my-kv-policy"]
identity_policies []
policies ["default" "my-kv-policy"]
# tokenwを使ってkvからデータ取れることを確認
$ VAULT_TOKEN=$MY_TOKEN vault kv get kv/iam
== Secret Path ==
kv/data/iam
======= Metadata =======
Key Value
--- -----
created_time 2023-06-25T09:01:32.457141967Z
custom_metadata <nil>
deletion_time n/a
destroyed false
version 1
====== Data ======
Key Value
--- -----
name kabu最後にこちらをみて、払い出したtokenを無効化しておく。
sh
$ vault token revoke $DEFAULT_TOKEN
$ VAULT_TOKEN=$DEFAULT_TOKEN vault kv get kv/iam
Error making API request.
URL: GET http://pi1:30820/v1/sys/internal/ui/mounts/kv/iam
Code: 403. Errors:
$ vault token revoke $MY_TOKEN
Success! Revoked token (if it existed)
$ VAULT_TOKEN=$MY_TOKEN vault kv get kv/iam
Error making API request.
URL: GET http://pi1:30820/v1/sys/internal/ui/mounts/kv/iam
Code: 403. Errors:
* permission deniedさいごに
とりあえず簡単なKVとポリシーについては理解した。 次は認証プロバイダからtokenを払い出し、そのtokenを使ってシークレットにアクセスできるようにするのをやってみる予定。
最終的には、以下の要件を満たすような構成を作れれば良さそう。
- 認証済みのアカウントがシークレットを制御する
- 以下のシークレットをローテーションさせる
- SSH鍵
- GitHubのPAT