Hashicorp Vault 클라이언트 모범 사례

Question

Hashicorp Vault를 사용하여 사용자 이름과 비밀번호 비밀을 저장하는 응용 프로그램이 있습니다. 응용 프로그램은 클라우드 호스팅 플랫폼에 배포되고 토큰을 환경 변수로 전달합니다. 응용 프로그램 시작시 토큰을 사용하여 볼트에서 비밀이 읽히고 원격 서비스에 대한 세션을 여는 데 사용됩니다. 원격 서비스에 대한 응용 프로그램 및 세션은 오래 유지됩니다. 모두 잘되면 응용 프로그램이 거의 다시 시작되지 않으므로 볼트에서 읽는 일이 거의 없습니다. 응용 프로그램이 다시 시작되면 토큰이 만료되어 실패 할 수 있습니다.

클라이언트가 볼트를 사용해야하는 방법에 대한 모범 사례 지침이 있습니까? 토큰 수명은 연장 될 수 있지만 수명이 길수록 보안이 손상됩니다. 응용 프로그램은 필요할 때마다 원격 서비스와 세션을 다시 설정할 수 있지만 이는 비효율적입니다. 고려하지 않은 다른 대안이 있습니까? 어떤 생각이라도 감사 할 것입니다.

Answer 1

일반 토큰 대신에 App Roles을 사용해야합니다. 이 경우 앱에 역할 ID를 구운 다음 환경 변수에 해당 역할의 비밀 ID를 배포합니다.

앱은 시작할 때 Vault에서 실제 토큰을 가져오고 주기적으로 토큰을 갱신 할 수 있습니다.