Hashicorp保险库中的一次性使用秘密

Question

基本上我们可以有一个只能读取一次的金库密钥吗？

Answer 1

您可以创建只能访问该机密的策略，例如

# policy: rsa
path "secret/rsa" {
  capabilities = ["read"]
}

然后为该策略创建包装令牌，例如

$ vault token create -policy=rsa -num_uses=1 -wrap-ttl=120
Key                              Value
---                              -----
wrapping_token:                  s.9QFJ8mRxGJD0e7kFfFIbdpDM
wrapping_accessor:               S0zKNUr2ENbnCtj0YyriO31b
wrapping_token_ttl:              2m
wrapping_token_creation_time:    2019-12-17 09:45:42.537057 -0800 PST
wrapping_token_creation_path:    auth/token/create
wrapped_accessor:                VmBKXoc19ZLZlHGl0nQCvV6r

这将生成一个包装的令牌。

VAULT_TOKEN="s.3Kf3Xfn58Asr3bSDkRXATHrw" vault unwrap

使用该令牌，用户将能够登录到vault并只检索一次rsa creds，因为此后令牌将无效。

您现在可以保证creds只从目标用户处使用过，因为包装的令牌只能解包装一次。

注意：如果最终用户通过UI，在创建令牌时可能需要调整num_use，因为UI可能使用令牌执行多个操作。