hashicorp-vault - 我应该在哪里存储 Vault 的 Unseal Key 和 Root Token？

Question

我应该在哪里存储 HashiCorp Vault 的 Unseal Key 和 Root Token？

Vault 将由团队中的不同成员使用。

Answer 1

在最佳实践用法中，您不会存储根 token - 一旦完成，it should be revoked .

Root tokens are useful in development but should be extremely carefully guarded in production. In fact, the Vault team recommends that root tokens are only used for just enough initial setup (usually, setting up auth methods and policies necessary to allow administrators to acquire more limited tokens) or in emergencies, and are revoked immediately after they are no longer needed.

If a new root token is needed, the operator generate-root command and associated API endpoint can be used to generate one on-the-fly.

解封 key 应该分发给受信任的人，没有人可以访问多个。

这需要不止一个人来重新启动保管库或获得对它的 root 访问权限。

该文档没有为我能找到的各个解封 key 建议任何好的藏身之处 - 我建议您通常存储密码的任何地方，即密码管理器。

对于日常使用，用户可以使用 user/pass 登录。或 ldap身份验证后端。