[Day 03] - Vault 的基本操作

Interaction with Vault Server

Vault 的 CLI 是透過 vault's HTTP API 去跟 Vault server 進行互動，也就是下圖 HTTP/S API 的部份。

而我們透過API送入 Vault server 的資料，會先經過 Barrier 進行加密處理，並把加密過後的資料存進 storage backend。

以 dev mode server 來說，memory 就是 vault server 的storage backend，存在 memory 的資料在 server 重新啟動後，會消失殆盡。
如果要在生產環境部署的話，可以參考官方文件存到硬碟、資料庫或是Consul裡面，把資料存到可以永久保存的地方去，才不會導致資料在每次重開後都不見。

Secrets engine

在進行操作前，看官們可能會好奇，為什麼接下來操作的指令都帶有 secret/ 這個路徑。
如果我想要在 2/14 這個路徑下存放 iHaveAGirlfreind=true 呢？(情人節想要女友)

以剛啟動的 dev mode vault server 進行以下操作，會得到以下的錯誤(403 forbidden 想要女友也不行，哭)。

$ vault kv put 2/14 iHaveAGirlfreind=true

Error making API request.

URL: GET http://127.0.0.1:8200/v1/sys/internal/ui/mounts/2/14
Code: 403. Errors:

* preflight capability check returned 403, please ensure client's policies grant access to path "2/14/"

接下來的操作使用 secret/ 這個路徑，是因為 dev mode vault server 在預設啟動的時候，就會在 secret/ 這個路徑下，啟動 kv 類型的 secrets engine。

Secrets engine？那是什麼，可以吃嗎？

Secrets engine，是 vault server 進行資料存放、加密以及產生資料的一個強大功能。

如上圖，Secrets engine有好幾個種類，較常看見的可以先簡單分成兩種：

• Secret Storage： key-value 的存放，像是加過密的 Redis。
• Dynamic Secrets： 提供dynamic credentials，提供動態的身份驗證。
  我們可以透過跟不同的進行互動 secrets engine ，存放不同類型的資料。

在 vault server 裡，我們可以設定各個 secrets engine 的路徑。
當 vault server 收到請求後，藉由 path routing，去存取到該路徑下的 secrets engine。
每一個 secrets engine，有各自的路徑跟設定，操作起來就跟 filesystem 差不多。

詳細各類型的 secrets engine 的使用方式，可以到官方網站查看。

dev mode vault server 已經幫我們建好secret/的 KV secrets engine，此一 engine 用來存放 KV 值，接下來我們就來直接操作吧 ！

Writing a secret

透過以下指令，把 author=renato 以及 topic=vault 存到 secret/7days 這個路徑底下。

$ vault kv put secret/7days author=renato topic=vault

Key              Value
---              -----
created_time     2020-02-19T06:38:06.985724259Z
deletion_time    n/a
destroyed        false
version          1

Warning！ 如果要存放 key-value 的話，從 file 讀取的話會更加安全，透過指令的方式存放的話，會被記錄在 history 裡面。

Getting a secret

透過以下指令，讀取 secret/7days 的內容，可以加上參數去顯示要的範圍及格式。
例如：-field=author、-format=json。

$ vault kv get secret/7days 

====== Metadata ======
Key              Value
---              -----
created_time     2020-02-19T06:41:37.647023263Z
deletion_time    n/a
destroyed        false
version          1

===== Data =====
Key       Value
---       -----
author    renato
topic     vault

Deleting a secret

如果 secret 不會再使用的話，也可以把他給刪掉！

$ vault kv delete secret/7days

Success! Data deleted (if it existed) at: secret/7days

Destorying a secret

如果 想要強硬的刪掉 可以用 destory ！

$ vault kv destroy -versions=1 secret/7days

Success! Data written to: secret/destroy/7days

那麼這個能用在什麼地方呢？我們可能會遇到以下幾個場景：

• 使用單一 admin 帳號要登入第三方應用程式，任何知道這個帳號的都能取得 admin 的帳號。
• 登入 server 的 ssh key 以明文的方式儲存。
• API key 以明文的方式儲存。
• 跟 LDAP 連動的應用程式，其設定以明文儲存。

Vault server 會使用 256-bit AES-GCM 的方式把這些機密資料進行加密，並把加密過後的資料存進 storage backend，storage backend 不會知道所存的資料為何，這樣一來就算 storage 被駭入，也沒辦法讀取這些資料！

以上的資料如果有要使用的話，設定好相對應的權限，由應用程式直接向 vault server 進行請求，拿取所需要的機密資料，這樣一來，比起以明文儲存，會更具安全性。如下圖：

那麼，以上就是簡單針對 KV secret engine 的操作及簡單的介紹，究竟 vault server 還有什麼神秘功能呢？
讓我們下回見！

Reference

• Static Secrets: Key/Value Secrets Engine
• Your first secret
• Secrets Engines
• Introduction