Подготовьте ключи компании и сервера HashiCorp Vault.

Используйте следующие команды для генерации файлов ключей:

openssl genrsa -aes256 -out company.key 4096
openssl genrsa -aes256 -out vault.key 2048

Команды генерируют файлы с приватным ключом компании (company.key) и приватным ключом сервера Vault (vault.key). Ключи представляют собой случайные RSA-ключи 4096 и 2048 бит соответственно.

Каждая команда запрашивает пароль. Для целей тестирования пароль не требуется. Чтобы отключить его, опустите аргумент -aes256.

Файлы ключей содержат конфиденциальную информацию и должны храниться в безопасном месте. Пароль (также конфиденциальный) понадобится позже, поэтому запишите его и храните в безопасном месте.

(Необязательно) Для проверки содержимого и валидности файлов ключей используйте следующие команды:

openssl rsa -in company.key -check
openssl rsa -in vault.key -check

Создайте сертификат CA компании.

Используйте следующую команду для создания файла сертификата CA компании с именем company.crt, действительного в течение 365 дней (введите команду в одной строке):

openssl req -x509 -new -nodes -key company.key
  -sha256 -days 365 -out company.crt

Если вы использовали аргумент -aes256 для шифрования ключа во время генерации ключа, вам будет предложено ввести пароль к ключу компании во время создания сертификата CA. Вам также будет предложено указать информацию о держателе сертификата (то есть, вас или вашу компанию), как показано здесь:

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:

Ответьте на запросы соответствующими значениями.

Создайте запрос на подпись сертификата.

Для создания сертификата сервера HashiCorp Vault необходимо подготовить запрос на подпись сертификата (CSR) для недавно созданного ключа сервера. Создайте конфигурационный файл с именем request.conf, содержащий следующие строки. Если сервер HashiCorp Vault не работает на локальном хосте, замените соответствующие значения CN и IP, а также внесите другие необходимые изменения.

[req]
distinguished_name = vault
x509_entensions = v3_req
prompt = no

[vault]
C = US
ST = CA
L = RWC
O = Company
CN = 127.0.0.1

[v3_req]
subjectAltName = @alternatives
authorityKeyIdentifier = keyid,issuer
basicConstraints = CA:TRUE

[alternatives]
IP = 127.0.0.1

Используйте эту команду для создания запроса на подпись:

openssl req -new -key vault.key -config request.conf -out request.csr

Файл вывода (request.csr) — это промежуточный файл, который служит входными данными для создания сертификата сервера.

Создайте сертификат сервера HashiCorp Vault.

Подпишите объединённую информацию из ключа сервера HashiCorp Vault (vault.key) и CSR (request.csr) с помощью сертификата компании (company.crt) для создания сертификата сервера HashiCorp Vault (vault.crt). Используйте следующую команду (введите команду в одной строке):

openssl x509 -req -in request.csr
  -CA company.crt -CAkey company.key -CAcreateserial
  -out vault.crt -days 365 -sha256

Чтобы сделать сертификат сервера vault.crt полезным, добавьте содержимое сертификата компании company.crt к нему. Это необходимо, чтобы сертификат компании передавался вместе с сертификатом сервера в запросах.

cat company.crt >> vault.crt

Если отобразить содержимое файла vault.crt, оно должно выглядеть так:

-----BEGIN CERTIFICATE-----
... content of HashiCorp Vault server certificate ...
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
... content of company certificate ...
-----END CERTIFICATE-----

Получите двоичный файл HashiCorp Vault.

Загрузите двоичный файл HashiCorp Vault, соответствующий вашей платформе, с сайта https://www.vaultproject.io/downloads.html.

Извлеките содержимое архива, чтобы получить исполняемую команду vault, используемую для выполнения операций HashiCorp Vault. При необходимости добавьте директорию, в которой вы установили команду, в системную переменную среды PATH.

(Необязательно) HashiCorp Vault поддерживает опции автодополнения, что облегчает использование. Дополнительную информацию см. на странице https://learn.hashicorp.com/vault/getting-started/install#command-completion.

Создайте конфигурационный файл сервера HashiCorp Vault.

Подготовьте конфигурационный файл с именем config.hcl со следующим содержимым. Для значений tls_cert_file, tls_key_file и path замените пути, соответствующие вашей системе.

listener "tcp" {
  address="127.0.0.1:8200"
  tls_cert_file="/home/username/certificates/vault.crt"
  tls_key_file="/home/username/certificates/vault.key"
}

storage "file" {
  path = "/home/username/vaultstorage/storage"
}

ui = true

Запустите сервер HashiCorp Vault.

Для запуска сервера Vault используйте следующую команду, где параметр -config указывает путь к только что созданному конфигурационному файлу:

vault server -config=config.hcl

На этом шаге вам может потребоваться ввести пароль для закрытого ключа сервера Vault, хранящегося в файле vault.key.

Сервер должен запуститься, выведя некоторую информацию на консоль (IP, порт и так далее).

Чтобы вы могли ввести оставшиеся команды, запустите команду vault server в фоновом режиме или откройте другой терминал, прежде чем продолжить.

Инициализируйте сервер HashiCorp Vault.

Выполните следующие команды (предполагается синтаксис оболочки Bourne):

export VAULT_SKIP_VERIFY=1
vault operator init -n 1 -t 1

Первая команда позволяет команде vault временно игнорировать тот факт, что к системному хранилищу доверенных сертификатов не добавлен корпоративный сертификат. Это компенсирует тот факт, что наш самозаверяемый CA не добавлен в это хранилище. (Для использования в рабочей среде такой сертификат должен быть добавлен.)

Вторая команда создает единственный ключ разгерметизации с требованием наличия одного ключа разгерметизации для разгерметизации. (В рабочей среде экземпляр будет иметь несколько ключей разгерметизации, причем для его разгерметизации потребуется ввести до такого количества ключей. Ключи разгерметизации должны быть переданы хранителям ключей в компании. Использование одного ключа может быть сочтено проблемой безопасности, так как это позволит одному хранителю ключей разгерметизировать хранилище.)

Vault должен ответить информацией о ключе разгерметизации и корневом токене, а также некоторым дополнительным текстом (фактические значения ключа разгерметизации и корневого токена отличаются от показанных здесь):

...
Unseal Key 1: I2xwcFQc892O0Nt2pBiRNlnkHzTUrWS+JybL39BjcOE=
Initial Root Token: s.vTvXeo3tPEYehfcd9WH7oUKz
...

Храните ключ разгерметизации и корневой токен в защищенном месте.

Разгерметизируйте сервер HashiCorp Vault.

Используйте эту команду для разгерметизации сервера Vault:

vault operator unseal

При запросе ввода ключа разгерметизации используйте ключ, полученный ранее во время инициализации Vault.

Vault должен вывести информацию, свидетельствующую о завершении настройки и разгерметизации хранилища.

Войдите в сервер HashiCorp Vault и проверьте его состояние.

Подготовьте переменные среды, необходимые для входа как root:

vault login s.vTvXeo3tPEYehfcd9WH7oUKz

Для значения токена в этой команде подставьте содержимое корневого токена, полученного ранее во время инициализации Vault.

Проверьте состояние сервера Vault:

vault status

Вывод должен содержать эти строки (среди других):

...
Initialized     true
Sealed          false
...

Настройте аутентификацию и хранение HashiCorp Vault.

Включите метод аутентификации AppRole и убедитесь, что он присутствует в списке методов аутентификации:

vault auth enable approle
vault auth list

Включите хранилище Vault KeyValue:

vault secrets enable -version=1 kv

Создайте и настройте роль для использования с плагином keyring_hashicorp (введите команду в одной строке):

vault write auth/approle/role/mysql token_num_uses=0
  token_ttl=20m token_max_ttl=30m secret_id_num_uses=0

Добавьте политику безопасности AppRole.

Подготовьте политику, разрешающую ранее созданной роли доступ к соответствующим секретам. Создайте новый файл с именем mysql.hcl со следующим содержимым:

path "kv/mysql/*" {
  capabilities = ["create", "read", "update", "delete", "list"]
}

Импортируйте файл политики на сервер Vault, чтобы создать политику с именем mysql-policy, а затем назначьте политику новой роли:

vault policy write mysql-policy mysql.hcl
vault write auth/approle/role/mysql policies=mysql-policy

Получите идентификатор только что созданной роли и сохраните его в защищенном месте:

vault read auth/approle/role/mysql/role-id

Сгенерируйте идентификатор секрета для роли и сохраните его в защищенном месте:

vault write -f auth/approle/role/mysql/secret-id

После генерации этих учетных данных AppRole (ID роли и ID секрета) они, как ожидается, будут действительны неопределенно долго. Их не нужно генерировать повторно, и плагин keyring_hashicorp может быть настроен с ними для использования на постоянной основе. Дополнительную информацию об аутентификации AuthRole см. на странице https://www.vaultproject.io/docs/auth/approle.html.

Используйте операторы SET, чтобы назначить желаемые новые значения системным переменным конфигурации, показанным в предыдущей таблице. Эти назначения сами по себе не влияют на текущую работу плагина.

Вызовите keyring_hashicorp_update_config(), чтобы заставить плагин переконфигурироваться и повторно подключиться к серверу HashiCorp Vault с использованием новых значений переменных.

Если подключение успешно, плагин сохраняет обновленные значения конфигурации в соответствующих системных переменных, содержащих _commit_ в своём имени.