Hashicorp庫 - 創建身份驗證令牌只是，不要讀祕密

Question

我使用Hashicorp庫：

https://www.vaultproject.io/

我想，可以創建新的用戶，用戶，但無法讀取他們的祕密。

請問我剛剛創建這樣一個策略：

path "sys/auth/token/*" { 
    policy = "write" 
} 

，因爲所有的政策設置爲拒絕？

Answer 1

這是使用保險櫃的不正確方法。這些是我的錯誤：

• 試圖存儲用戶密碼。對我來說，處理平臺密碼看起來更好，比如集成的臨時postgre憑證。
• 嘗試刪除服務器上任何驗證密鑰的跟蹤。如果要自動創建保險櫃用戶，保險櫃憑證需要存在某處，無論是腳本還是具有適當權限的文件。
• 試圖緩解一個有根的服務器。如果有人擁有root權限，那麼存在比這個更大的問題。加密可以緩解數據泄漏，如數據庫轉儲。如果在我的情況下root訪問受到攻擊，數據泄漏必須被接受。最好把重點放在不紮根。