Даёшь самоуправление! Управляем конфигурацией HashiСorp Vault изнутри, опираясь на Git и кворум подписей
Многие DevOps-инженеры пользуются HashiCorp Vault для хранения секретов или управления ими.Помимо того, что все данные в хранилище надёжно зашифрованы, инструмент позволяет гранулярно выдать доступ на какие-то операции. Например, с помощью одной учётной записи секрет можно создать, но нельзя прочитать или изменить. А с помощью другой можно только прочитать. Этим все повсеместно пользуются — инженеры и разработчики читают или создают секреты, а какой-то администратор выдаёт к этим секретам доступы.И тут есть подвох — администратор может прочитать любые секреты, которые может прочитать хоть кто-то ещё.
Успех секрета: как доставлять секреты в приложения безопасно и без головной боли
Секреты — это то, без чего не живёт ни одно приложение: токены, пароли, ключи. Хранить их опасно, доставлять — ещё опаснее. Мы во «Фланте» тоже когда-то верили в HashiCorp Vault, но быстро поняли, что с ним не всё так гладко. Рассказываем, как мы переосмыслили подход к secret management в своём продукте Deckhouse Stronghold, что придумали, чтобы не потерять безопасность на delivery-этапе, и какие риски всё ещё остаются, даже если сделать всё «правильно».Это статья по мотивам доклада
