hashicorp/vaultUno strumento per la gestione dei segreti, la crittografia come servizio e la gestione degli accessi privilegiati
Nota bene: Prendiamo molto sul serio la sicurezza di Vault e la fiducia dei nostri utenti. Se ritieni di aver trovato un problema di sicurezza in Vault, segnalalo in modo responsabile contattandoci all'indirizzo [email protected].
Vault è uno strumento per accedere in modo sicuro ai segreti. Un segreto è qualsiasi cosa di cui si voglia controllare strettamente l'accesso, come chiavi API, password, certificati e altro. Vault fornisce un'interfaccia unificata per qualsiasi segreto, offrendo al contempo un controllo degli accessi rigoroso e la registrazione di un log di audit dettagliato.
Un sistema moderno richiede l'accesso a moltissimi segreti: credenziali del database, chiavi API per servizi esterni, credenziali per la comunicazione in architettura orientata ai servizi, ecc. Capire chi sta accedendo a quali segreti è già molto difficile e dipendente dalla piattaforma. Aggiungere rotazione delle chiavi, archiviazione sicura e log di audit dettagliati è quasi impossibile senza una soluzione personalizzata. È qui che entra in gioco Vault.
Le caratteristiche principali di Vault sono:
Archiviazione sicura dei segreti: Vault può memorizzare coppie chiave/valore arbitrarie. Vault crittografa i dati prima di scriverli nell'archivio persistente, quindi accedere all'archivio grezzo non è sufficiente per ottenere i tuoi segreti. Vault può scrivere su disco, Consul e altro.
Segreti dinamici: Vault può generare segreti su richiesta per alcuni sistemi, come AWS o database SQL. Ad esempio, quando un'applicazione deve accedere a un bucket S3, chiede a Vault delle credenziali e Vault genera una coppia di chiavi AWS con permessi validi su richiesta. Dopo aver creato questi segreti dinamici, Vault li revoca automaticamente alla scadenza del lease.
Crittografia dei dati: Vault può crittografare e decrittografare i dati senza archiviarli. Questo consente ai team di sicurezza di definire i parametri di crittografia e agli sviluppatori di archiviare dati crittografati in una posizione come un database SQL senza dover progettare i propri metodi di crittografia.
Leasing e rinnovo: Vault associa un lease a ogni segreto. Alla scadenza del lease, Vault revoca automaticamente il segreto. I client possono rinnovare i lease tramite API di rinnovo integrate.
Revoca: Vault supporta la revoca dei segreti in modo nativo. Vault può revocare non solo singoli segreti, ma un albero di segreti, ad esempio tutti i segreti letti da un utente specifico o tutti i segreti di un determinato tipo. La revoca aiuta nella rotazione delle chiavi e nel bloccare i sistemi in caso di intrusione.
La documentazione è disponibile sul sito web di Vault.
Se sei nuovo di Vault e vuoi iniziare con l'automazione della sicurezza, consulta le nostre guide introduttive sulla piattaforma di apprendimento di HashiCorp. Sono disponibili anche guide aggiuntive per continuare il tuo apprendimento.
Per esempi su come interagire con Vault all'interno della tua applicazione in diversi linguaggi di programmazione, consulta il repository vault-examples. È disponibile anche un'applicazione di esempio pronta all'uso.
Mostra le tue conoscenze su Vault superando un esame di certificazione. Visita la pagina di certificazione per informazioni sugli esami e trova materiali di studio sulla piattaforma di apprendimento di HashiCorp.
Se desideri lavorare su Vault stesso o su uno dei suoi sistemi integrati, devi prima avere Go installato sulla tua macchina.
Per lo sviluppo locale, assicurati prima che Go sia installato correttamente, inclusa la configurazione di un GOPATH, quindi imposta la variabile GOBIN su $GOPATH/bin. Assicurati che $GOPATH/bin sia nel tuo PATH poiché alcune distribuzioni includono la vecchia versione degli strumenti di build.
Quindi, clona questo repository. Vault utilizza Go Modules, quindi si consiglia di clonare il repository al di fuori del GOPATH. Puoi quindi scaricare gli strumenti di build necessari bootstrapando il tuo ambiente:
$ make bootstrap
...
Per compilare una versione di sviluppo di Vault, esegui make o make dev. Questo inserirà il binario di Vault nelle cartelle bin e $GOPATH/bin:
$ make dev
...
$ bin/vault
...
Per compilare una versione di sviluppo di Vault con l'interfaccia utente, esegui make static-dist dev-ui. Questo inserirà il binario di Vault nelle cartelle bin e $GOPATH/bin:
$ make static-dist dev-ui
...
$ bin/vault
...
Per eseguire i test, digita make test. Nota: questo richiede che Docker sia installato. Se termina con codice di uscita 0, tutto funziona!
$ make test
...
Se stai sviluppando un pacchetto specifico, puoi eseguire i test solo per quel pacchetto specificando la variabile TEST. Ad esempio, qui sotto verranno eseguiti solo i test del pacchetto vault.
$ make test TEST=./vault
...
Se incontri un errore come could not read Username for 'https://github.com' potresti dover modificare la configurazione di git in questo modo:
$ git config --global --add url."[email protected]:".insteadOf "https://github.com/"
Questo repository pubblica due librerie che possono essere importate da altri progetti:
github.com/hashicorp/vault/api e github.com/hashicorp/vault/sdk.