hashcorp Vault 如何保护数据库凭证？

Question

我正在研究 vault 以保护各种 Web 应用程序使用的数据库凭据。我查看了一些 Youtube 视频、幻灯片分享，甚至下载了 Vault 进行试验。我无法完全理解它。Vault如何保护诸如使用令牌对Vault进行身份验证的Web应用程序之类的凭据？我假设 Apache 进程必须拥有保管库令牌（用户令牌，而不是根令牌），以便它可以访问它正在运行的应用程序的机密。这似乎会暴露 Apache 进程在应用程序受损时可以访问的任何秘密。我在这里没有看到大的胜利，所以我一定错过了很多。

Answer 1

简而言之，Vault 支持身份验证后端，然后允许您生成令牌。令牌应被视为临时访问，与密钥不同。

特别是，Vault 支持使用许多不同系统进行身份验证，以根据需要生成动态机密和凭据。这是有据可查的here

在安全性方面，我们的想法是将authentication backend 作为主要对象，然后生成令牌。您说硬编码令牌是一种安全风险是正确的。一旦动态生成，它们应该具有严格的权限和较短的 TTL。 Vault 使这很容易，因为您可以使用 ACL 定义令牌的范围。