Hashicorp保险库-你应该在KV中存储客户提供的秘密吗？

Question

我需要存储用户提供给我的非常敏感的秘密（用户名+密码+证书以验证进入第三方API）。

我首先考虑的是AWS秘密管理器，它非常昂贵，而且IMHO主要用于基础设施机密（数据库密码、API密钥……)，而不是客户提供的机密。现在，我正在决定使用AWS KMS（以及使用信封加密将加密的机密存储在数据库（AWS RDS）中）和Hashicorp Vault。

• https://www.vaultproject.io/docs/secrets/transit
• https://www.vaultproject.io/docs/secrets/kv/kv-v2

根据我所读到的内容，我得出的结论是，Vault KV主要用于基础设施机密，而Vault Transform可能在某种程度上等同于AWS KMS（更好地用于客户提供的机密）。

由于我正在构建一个非常小的应用程序，如果我决定使用Vault KV，我根本不需要数据库。但我不确定Vault KV是否合适。

对于Vault KV，我是否应该意识到一些限制或可能的问题（对于这个用例）？

谢谢

Answer 1

AWS KMS实际上只是管理主密钥。参数存储将使用隐藏的KMS来管理其加密密钥。如果您在AWS中部署Vault，您可能也会使用KMS来解封并作为主密钥。您可能不想直接使用KMS（因为其他解决方案为您提供了每个机密/路径策略、机密版本控制、审计日志，以及所有您可能想要/需要的功能，而KMS不会直接提供这些功能）

Vault key-value secrets引擎允许您存储秘密，并且Vault管理加密、审计日志、访问（以及使用KV v2时的版本）

transit secrets引擎可以被视为“html" target="_blank">加密即服务”：

• 调用它来创建密钥环（将其视为一个数据加密密钥，内置了循环机制，因此有了密钥环。）
• 然后，您可以使用keyring引用来加密一些东西，并获得一些加密的密文，可以存储在数据库或文件中。或者您也可以做相反的操作，使用keyring引用（一些密文）调用它，并要求它对其进行解密并获取数据（假设您有正确的策略）
• 或者，如果您想要加密/解密的数据是“大的”（取决于您的用例），您可以使用它来获得一个数据密钥，您可以使用它来本地加密/解密您的数据。（您获取密钥，对其进行加密或解密，但不必处理加密密钥安全性：Vault为您管理密钥安全性，因此您只需从内存中清除密钥，并在下次从Vault中取回密钥即可）

就像很多事情一样：这要看情况而定。这取决于你的标准。我确实喜欢两者，但对于不同的用例，所以让我列出我看到的两者之间的主要区别，希望它能给您足够的上下文来做出选择：

访问管理：Vault提供了许多身份验证选项，并且很容易对策略进行推理。如果IAM策略足以覆盖所有的用例，以允许对这些秘密的最小访问，则参数存储是一个很好的选择。否则保险库会掩护你的。

别忘了Vault还提供了很多其他的秘密/加密工具。它们可能会使您的项目受益（或者没有，但请检查此选项）

我的经验法则是：如果AWS IAM就足够了，而且除了简单的秘密存储之外，您没有任何其他需求，那么SSM参数存储听起来是个好主意。
如果您有其他加密需求，或者一些其他身份验证/策略要求，这将使在IAM之上构建变得更加具有挑战性，
那么Vault就会发光。
如果您有很多秘密要存储/加密/解密，Vault的Transition secret引擎来加密/解密数据，而您的常规DB来存储这些加密blob将会完美地工作。