salt-stack - 如何使用 Hashicorp Vault PKI 后端为 minions 生成动态证书

Question

我们正计划离开 在我们的开发环境中，我们处于需要使用 Vault 向 salt minion 客户端颁发证书的情况。

当前的 salt 模块支持向 minions 发送纯 kv 值，但除此之外别无其他。当我们希望实现 Vault 的 AppRole 进行身份验证时，Salt 甚至不支持除默认 token 之外的任何身份验证方法， https://docs.saltstack.com/en/2017.7/ref/modules/all/salt.modules.vault.html

到目前为止，我们已按照本指南设置环境 https://backbeat.tech/blog/secure-servers-with-saltstack-and-vault-part-1但这并没有多大帮助，因为我们的开发有不同的要求。我想问一下是否有 Vault + Salt 的任何实现，它允许我们使用 hashicorp 保险库向 salt minions 颁发私有(private)证书，并使用更复杂的身份验证方式而不仅仅是 token ？

提前致谢。

Answer 1

use more sophisticated way of authentication instead of just token?

AppRole 支持可用 v2018.11 branch .您可以将它作为新模块添加到您的 salt 中，而不是覆盖原始的 vault 模块。

I want to ask if there is any implementation of Vault + Salt which would allow us issue private certificates to salt minions using hashicorp vault

您可以使用 vault module for salt-stack创建您的 PKI。它允许您使用 vault.write_secret 执行模块写入 vault PKI 后端。类似的东西，

salt-call vault.write_secret "<pki_backend_name>/issue/<role_name>" common_name="<___>" ttl="100h" format="pem"

或来自一个州，

{% set generate_certificate = salt['vault'].write_secret("<pki_backend_name>/issue/<role_name>", common_name="<___>", ttl="100h", format="pem") %}

我写了这个guide on how you can use vault to generate PKI , 它可以派上用场。

希望对您有所帮助。