Boundary

• Qu'est-ce que Boundary : https://developer.hashicorp.com/boundary/docs/what-is-boundary
• Site web : https://www.developer.hashicorp.com/boundary/
• Forums : HashiCorp Discuss
• Documentation : https://developer.hashicorp.com/boundary/docs
• Tutoriels : HashiCorp's Learn Platform

Boundary est un proxy conscient de l'identité qui offre un moyen simple et sécurisé d'accéder aux hôtes et aux systèmes critiques de votre réseau.

Avec Boundary, vous pouvez :

• Intégrer votre fournisseur d'identité (IdP) de votre choix via OpenID Connect, permettant aux utilisateurs de se connecter de manière sécurisée à leur environnement Boundary
• Fournir un accès réseau juste-à-temps aux ressources réseau, où qu'elles se trouvent
• Gérer les identifiants de session via un magasin d'identifiants statique natif, ou générer dynamiquement des identifiants uniques par session en intégrant HashiCorp Vault
• Automatiser la découverte de nouveaux points de terminaison
• Gérer les sessions privilégiées à l'aide des contrôles de session de Boundary
• Standardiser le flux de travail d'accès de votre équipe avec une expérience cohérente pour tout type d'infrastructure, quel que soit le fournisseur

Boundary est conçu pour être simple à comprendre, hautement évolutif et résilient. Il peut fonctionner dans le cloud, sur site, dans des enclaves sécurisées, etc., et ne nécessite pas l'installation d'un agent sur chaque hôte final, ce qui le rend adapté à l'accès aux services managés/cloud et aux flux de travail basés sur des conteneurs, en plus des systèmes hôtes et services traditionnels.

Pour plus d'informations, reportez-vous à « Qu'est-ce que Boundary ? » sur le site web de Boundary.

Pour commencer

Boundary se compose de deux composants serveur :

• Controller, qui sert l'API et coordonne les demandes de session
• Workers, qui assurent le traitement des sessions

Une installation réelle de Boundary comprendra probablement un ou plusieurs controllers associés à un ou plusieurs workers. Un seul binaire Boundary peut agir dans l'un ou l'autre de ces deux modes, ou dans les deux.

De plus, Boundary fournit un client Desktop et un CLI permettant aux utilisateurs finaux de demander et d'établir des sessions autorisées vers des ressources à travers un réseau.

Boundary ne nécessite pas l'installation de logiciel sur vos hôtes et services.

Prérequis

Boundary a deux dépendances externes :

• Une base de données SQL
• Au moins un KMS

Base de données SQL

La base de données contient la configuration et les informations de session de Boundary. Les nœuds controller doivent pouvoir accéder à la base de données.

Les valeurs qui sont des secrets (par exemple les identifiants) sont chiffrées dans la base de données. Actuellement, PostgreSQL est pris en charge comme base de données et a été testé avec Postgres 12 et supérieur.

Boundary n'utilise que des extensions courantes et prend en charge aussi bien les instances hébergées que les instances auto-gérées. Dans la plupart des cas, tout ce dont vous avez besoin est un point de terminaison de base de données et les identifiants appropriés.

KMS

Boundary utilise des clés KMS à diverses fins, telles que la protection des secrets, l'authentification des workers, la récupération de données, le chiffrement des valeurs dans la configuration de Boundary, etc. Boundary utilise massivement la dérivation de clé pour éviter la prolifération de ces clés de grande valeur.

Vous pouvez utiliser n'importe quel KMS cloud ou le moteur Transit Secrets de Vault pour satisfaire l'exigence KMS.

Essayer Boundary

Exécuter Boundary dans un contexte plus permanent nécessite quelques étapes supplémentaires, telles que l'écriture de fichiers de configuration simples pour indiquer aux nœuds comment atteindre leur base de données et leur KMS. Les étapes ci-dessous, ainsi que les informations supplémentaires nécessaires pour les installations permanentes, sont détaillées dans notre Guide d'installation.

⚠️ N'utilisez pas la branche main sauf pour les cas de développement ou de test. Boundary 0.10 a introduit des branches de release qui devraient pouvoir être suivies en toute sécurité ; cependant, les migrations dans main peuvent être renumérotées si nécessaire. L'équipe Boundary ne pourra pas fournir d'assistance si l'exécution de main à long terme entraîne des ruptures de migration ou d'autres bogues.

Télécharger et exécuter depuis la page des releases

Téléchargez la dernière release du binaire serveur et le(s) client(s) Desktop approprié(s) depuis notre page de téléchargement

Démarrage rapide avec Boundary Dev

Boundary dispose d'un mode dev que vous pouvez utiliser pour les tests. En mode dev, vous pouvez démarrer à la fois un controller et un worker avec une seule commande, et ils ont les propriétés suivantes :

• Le controller démarre un conteneur Docker PostgreSQL à utiliser comme stockage. Ce conteneur sera arrêté et supprimé, si possible, lorsque le controller sera arrêté proprement.
• Le controller utilise un KMS interne avec des clés éphémères

Compilation à partir des sources

Si vous répondez aux prérequis locaux suivants, vous pouvez rapidement démarrer avec Boundary :

• Go v1.21 ou supérieur
• Docker
• Soit les dépendances de l'interface utilisateur Boundary pour compiler localement les ressources de l'interface utilisateur, soit gh cli pour télécharger les ressources précompilées de l'interface utilisateur.

Exécutez simplement :

make install

Cela compilera Boundary. (La première fois que cette commande est exécutée, elle récupérera et compilera les ressources de l'interface utilisateur ; cela prendra quelques minutes supplémentaires.) Une fois terminé, exécutez Boundary en mode dev :

$GOPATH/bin/boundary dev

Veuillez noter que le développement peut nécessiter d'autres outils ; pour installer l'ensemble des outils aux versions utilisées par l'équipe Boundary, exécutez :

make tools

Sans cela, vous pouvez rencontrer des erreurs lors de l'exécution de make install. Il est important de noter également que l'utilisation de make tools installera divers outils utilisés pour le développement de Boundary dans le répertoire normal des binaires Go ; cela peut écraser ou prendre le pas sur des outils qui pourraient déjà être installés sur le système.

Démarrer Boundary

Démarrez le binaire serveur avec :

boundary dev

Cela démarrera un service Controller écoutant sur http://127.0.0.1:9200 pour les requêtes API entrantes et un service Worker écoutant sur http://127.0.0.1:9202 pour les requêtes de session entrantes. Cela créera également diverses ressources par défaut et affichera diverses informations utiles, telles qu'un nom d'utilisateur et un mot de passe qui peuvent être utilisés pour s'authentifier.

Configuration des ressources