Vault私钥管理工具实践

最新推荐文章于 2024-05-14 09:40:43 发布

tsinson

最新推荐文章于 2024-05-14 09:40:43 发布

阅读量190

点赞数

文章标签：网络

本文链接：https://blog.csdn.net/tsinson/article/details/134228133

版权

一、UI界面

Vault安装完成后，登录UI界面，可以管理、查看所有引擎密钥信息；
UI地址为：http://1922.168.***.***:8200/ui，密码为root的token；

二、主要加解密功能

2.1 kv加解密

kv存储加密数据有2种模式，模式1没有版本概念，它总是存储最新的kv数据，模式2有版本概念。模式1没有Metadata信息，占用更少的空间；没有锁，有更好的性能。以下只介绍模式1的使用，假设vault已经安装完成。

设置VAULT_ADDR环境变量。export VAULT_ADDR=http://127.0.0.1:8200
查看vault服务是否可用。vault status
查看secret已安装kv引擎。vault secrets list -detailed
如果没有安装，安装kv引擎。vault secrets enable -path=kv kv
设置kv值。vault kv put kv/fakebank api_key=abc1234 api_secret=1a2b3c4d
使用命令行查询kv值。vault kv get kv/fakebank

7. 使用API查询kv值。curl --header "X-Vault-Token: s.DT7jFCMaGVamWqorQjCv***" -X GET http://192.168.***.***:8200/v1/kv/fakebank

2.2 transit 密钥加解密

2.2.1命令行使用说明

官方说明文档地址：Transit - Secrets Engines | Vault | HashiCorp Developer 和Encryption as a service: transit secrets engine | Vault | HashiCorp Developer

，假设已经使用docker部署完成vault，使用docker exec -it containerid sh进入vault容器中。执行如下步骤：

设置VAULT_ADDR环境变量，例如：export VAULT_ADDR=http://127.0.0.1:8200。
设置VAULT_TOKEN环境变量：

例如：export VAULT_TOKEN="s.DT7jFCMaGVamWqorQjCv****"

3. 查看secret是否已安装transit引擎

vault secrets list -detailed

4. 开通transit引擎，启动密钥加解密功能。vault secrets enable transit

5. 创建名称为cmr的密钥。vault write -f transit/keys/cmr，如果vault存储为file格式，那么可以在/vault/file目录下找到密钥文件。

6. 创建密钥加解密策略。参考例子如下：

vault policy write app-cmr -<<EOF

path "transit/encrypt/cmr" {

   capabilities = [ "update" ]

}

path "transit/decrypt/cmr" {

   capabilities = [ "update" ]

}

EOF

7. 策略固化到文件，方便后面创建类似密钥策略。例如：

vault policy read app-cmr > /test/policy/app-cmr-policy.hcl

8. 创建密钥策略token。返回如下信息：

/vault/file # vault token create -policy=app-cmr

Key                  Value

---                  -----

token                s.qaNaUduBquSD3gF5sean3zIY

token_accessor       tydBLnJXHDKmaxdIfOFOlynW

token_duration       768h

token_renewable      true

token_policies       ["app-cmr" "default"]

identity_policies    []

policies             ["app-cmr" "default"]

9. 使用策略token登录。例如：vault login s.qaNaUduBquSD3gF5sean****

10. 用base64加密字符串，然后再使用vault密钥加密。例如：

vault write transit/encrypt/cmr plaintext=$(echo -n "hi cmr" | base64) 返回如下：

注意：官方文档使用的vault write transit/encrypt/my-key plaintext=$(base64 <<< "my secret data")。<<<适用于/bin/bash命令行模式，不适应于sh命令行模式。