Vault

Bitte beachten: Wir nehmen die Sicherheit von Vault und das Vertrauen unserer Benutzer sehr ernst. Wenn Sie glauben, ein Sicherheitsproblem in Vault gefunden zu haben, teilen Sie es uns bitte verantwortungsvoll mit, indem Sie uns unter [email protected] kontaktieren.

Website: developer.hashicorp.com/vault
Ankündigungsliste: Google Groups
Diskussionsforum: Discuss
Dokumentation: https://developer.hashicorp.com/vault/docs
Tutorials: https://developer.hashicorp.com/vault/tutorials
Zertifizierungsprüfung: https://developer.hashicorp.com/certifications/security-automation
Dokumentationsquelle: https://github.com/hashicorp/web-unified-docs

Vault ist ein Werkzeug für den sicheren Zugriff auf Geheimnisse. Ein Geheimnis ist alles, auf das Sie den Zugriff streng kontrollieren möchten, wie API-Schlüssel, Passwörter, Zertifikate und mehr. Vault bietet eine einheitliche Schnittstelle für jedes Geheimnis, mit strenger Zugriffskontrolle und detaillierten Prüfprotokollen.

Ein modernes System benötigt Zugriff auf eine Vielzahl von Geheimnissen: Datenbank-Anmeldedaten, API-Schlüssel für externe Dienste, Anmeldedaten für die Kommunikation in serviceorientierten Architekturen usw. Zu verstehen, wer auf welche Geheimnisse zugreift, ist bereits sehr schwierig und plattformspezifisch. Hinzu kommen Schlüsselrotation, sichere Speicherung und detaillierte Prüfprotokolle – das ist ohne eine benutzerdefinierte Lösung nahezu unmöglich. Hier kommt Vault ins Spiel.

Die Hauptfunktionen von Vault sind:

Sichere Geheimnisspeicherung: Vault kann beliebige Schlüssel/Wert-Paare speichern. Vault verschlüsselt Daten, bevor sie in den persistenten Speicher geschrieben werden, sodass der Zugriff auf den Rohspeicher nicht ausreicht, um Ihre Geheimnisse zu erhalten. Vault kann auf die Festplatte, Consul und mehr schreiben.
Dynamische Geheimnisse: Vault kann bei Bedarf Geheimnisse für einige Systeme generieren, z. B. für AWS oder SQL-Datenbanken. Wenn eine Anwendung beispielsweise auf einen S3-Bucket zugreifen muss, fragt sie Vault nach Anmeldedaten, und Vault generiert ein AWS-Schlüsselpaar mit gültigen Berechtigungen. Nach der Erstellung dieser dynamischen Geheimnisse widerruft Vault sie automatisch, sobald die Lease abläuft.
Datenverschlüsselung: Vault kann Daten verschlüsseln und entschlüsseln, ohne sie zu speichern. Dadurch können Sicherheitsteams Verschlüsselungsparameter definieren und Entwickler verschlüsselte Daten an einem Ort wie einer SQL-Datenbank speichern, ohne eigene Verschlüsselungsmethoden entwerfen zu müssen.
Leasing und Verlängerung: Vault ordnet jedem Geheimnis eine Lease zu. Am Ende der Lease widerruft Vault das Geheimnis automatisch. Clients können Leases über integrierte Verlängerungs-APIs verlängern.
Widerruf: Vault bietet integrierte Unterstützung für den Widerruf von Geheimnissen. Vault kann nicht nur einzelne Geheimnisse widerrufen, sondern auch einen Baum von Geheimnissen, z. B. alle von einem bestimmten Benutzer gelesenen Geheimnisse oder alle Geheimnisse eines bestimmten Typs. Der Widerruf unterstützt sowohl die Schlüsselrotation als auch das Sperren von Systemen im Falle eines Einbruchs.

Dokumentation, Erste Schritte und Zertifizierungsprüfungen

Die Dokumentation ist auf der Vault-Website verfügbar.

Wenn Sie neu bei Vault sind und mit der Sicherheitsautomation beginnen möchten, lesen Sie bitte unsere Anleitungen für den Einstieg auf der Lernplattform von HashiCorp. Es gibt auch weitere Anleitungen, um Ihr Lernen fortzusetzen.

Beispiele für die Interaktion mit Vault aus Ihrer Anwendung in verschiedenen Programmiersprachen finden Sie im Repository vault-examples. Eine sofort einsatzbereite Beispielanwendung ist ebenfalls verfügbar.

Zeigen Sie Ihr Vault-Wissen, indem Sie eine Zertifizierungsprüfung bestehen. Besuchen Sie die Zertifizierungsseite für Informationen zu Prüfungen und finden Sie Lernmaterialien auf der Lernplattform von HashiCorp.

Vault entwickeln

Wenn Sie an Vault selbst oder an einem seiner integrierten Systeme arbeiten möchten, müssen Sie zunächst Go auf Ihrem Rechner installieren.

Stellen Sie für die lokale Entwicklung zunächst sicher, dass Go ordnungsgemäß installiert ist, einschließlich der Einrichtung eines GOPATH. Setzen Sie dann die Variable GOBIN auf $GOPATH/bin. Achten Sie darauf, dass $GOPATH/bin in Ihrem Pfad enthalten ist, da einige Distributionen die alte Version der Build-Tools bündeln.

Klonen Sie als nächstes dieses Repository. Vault verwendet Go Modules, daher wird empfohlen, das Repository außerhalb des GOPATH zu klonen. Sie können dann alle erforderlichen Build-Tools durch Bootstrap Ihrer Umgebung herunterladen:

$ make bootstrap
...

Um eine Entwicklungsversion von Vault zu kompilieren, führen Sie make oder make dev aus. Dadurch wird die Vault-Binärdatei in den bin- und $GOPATH/bin-Ordnern abgelegt:

$ make dev
...
$ bin/vault
...

Um eine Entwicklungsversion von Vault mit der Benutzeroberfläche zu kompilieren, führen Sie make static-dist dev-ui aus. Dadurch wird die Vault-Binärdatei in den bin- und $GOPATH/bin-Ordnern abgelegt:

$ make static-dist dev-ui
...
$ bin/vault
...

Um Tests auszuführen, geben Sie make test ein. Hinweis: Dazu muss Docker installiert sein. Wenn der Befehl mit Exit-Status 0 beendet wird, funktioniert alles!

$ make test
...

Wenn Sie an einem bestimmten Paket entwickeln, können Sie Tests nur für dieses Paket ausführen, indem Sie die Variable TEST angeben. Im folgenden Beispiel werden nur Tests des Pakets vault ausgeführt.

$ make test TEST=./vault
...

Fehlerbehebung

Wenn ein Fehler wie could not read Username for 'https://github.com' auftritt, müssen Sie möglicherweise Ihre Git-Konfiguration wie folgt anpassen:

$ git config --global --add url."[email protected]:".insteadOf "https://github.com/"

Importieren von Vault

Dieses Repository veröffentlicht zwei Bibliotheken, die von anderen Projekten importiert werden können: github.com/hashicorp/vault/api und github.com/hashicorp/vault/sdk.

vault v2.0.4