HashiCorp Vault คืออะไร และวิธีติดตั้งบน Cloud Server

ทดสอบบน Ubuntu Server 24.04 LTS

1. 1

   เพิ่มที่เก็บแพ็กเกจและติดตั้ง

   คัดลอก

   curl -fsSL https://apt.releases.hashicorp.com/gpg | \
     sudo gpg --dearmor -o /usr/share/keyrings/hashicorp.gpg
   echo "deb [signed-by=/usr/share/keyrings/hashicorp.gpg] https://apt.releases.hashicorp.com noble main" | \
     sudo tee /etc/apt/sources.list.d/hashicorp.list
   sudo apt update && sudo apt -y install vault

2. 2

   ตั้งค่าใน /etc/vault.d/vault.hcl

   คัดลอก

   storage "raft" {
     path    = "/opt/vault/data"
     node_id = "vault-1"
   }
   
   listener "tcp" {
     address       = "10.10.0.60:8200"
     tls_cert_file = "/etc/vault.d/tls/cert.pem"
     tls_key_file  = "/etc/vault.d/tls/key.pem"
   }
   
   api_addr = "https://vault.example.com:8200"
   cluster_addr = "https://10.10.0.60:8201"
   ui = true

3. 3

   เปิดบริการและเริ่มต้นระบบ

   คำสั่งเริ่มต้นจะแสดงกุญแจปลดล็อกและโทเคนผู้ดูแลระบบครั้งเดียวเท่านั้น ต้องเก็บไว้อย่างปลอดภัยและแยกเก็บกันคนละที่

   คัดลอก

   sudo systemctl enable --now vault
   export VAULT_ADDR=https://vault.example.com:8200
   vault operator init

4. 4

   ปลดล็อกระบบ

   ระบบเริ่มต้นในสถานะล็อกเสมอ ต้องใส่กุญแจตามจำนวนที่กำหนดจึงจะใช้งานได้ ซึ่งเป็นการออกแบบให้ไม่มีใครคนเดียวปลดล็อกได้

   คัดลอก

   vault operator unseal

5. 5

   เปิดที่เก็บความลับและสร้างนโยบาย

   คัดลอก

   vault login
   vault secrets enable -path=secret kv-v2
   vault kv put secret/myapp/db password="ChangeThisStrongPassword"
   
   vault policy write myapp - <<EOF
   path "secret/data/myapp/*" {
     capabilities = ["read"]
   }
   EOF

6. 6

   ให้แอปยืนยันตัวตนและดึงความลับ

   ใช้วิธียืนยันตัวตนที่เหมาะกับสภาพแวดล้อม เช่น AppRole สำหรับแอปทั่วไปหรือ Kubernetes สำหรับงานในคลัสเตอร์ แล้วให้แอปดึงความลับตอนเริ่มทำงานแทนการเก็บไว้ในไฟล์

เก็บกุญแจปลดล็อกแยกกันคนละที่และคนละคน เพราะถ้ากุญแจหายจนไม่ครบจำนวนที่ต้องใช้ จะไม่มีทางเปิดข้อมูลกลับมาได้เลย