Hashicorp Vault - Auth-Token erstellen Nur, nicht lesen Geheimnisse

Question

Ich verwende Hashicorp Vault:

https://www.vaultproject.io/

ich einen Benutzer möchten, die neue Benutzer erstellen kann, aber ihre Geheimnisse nicht lesen .

Würde ich erstellen Sie einfach eine Politik wie:

path "sys/auth/token/*" { 
    policy = "write" 
} 

da alle Richtlinien verweigern werden auf?

Answer 1

Dies war die falsche Methode, Vault zu verwenden. Das waren meine Fehler:

• Der Versuch, Benutzerkennwörter zu speichern. Für mich sieht es besser aus, Plattformpasswörter zu behandeln, wie die integrierten temporären Postgre-Zugangsdaten.
• Der Versuch, alle Spuren von Authentifizierungsschlüsseln auf dem Server zu entfernen. Wenn Vault-Benutzer automatisch erstellt werden, müssen die Vault-Anmeldeinformationen entweder in einem Skript oder in einer Datei mit den entsprechenden Berechtigungen vorhanden sein.
• Versuchen, einen gerooteten Server abzuschwächen. Wenn jemand Root-Zugriff hat, gibt es größere Probleme. Verschlüsselung kann Datenlecks wie ein Datenbank-Dump mindern. Datenlecks, wenn der Root-Zugriff in meinem Fall kompromittiert wurde, müssen akzeptiert werden. Es ist am besten, sich darauf zu konzentrieren, nicht verwurzelt zu werden.