Size: a a a

DevSecOps - русскоговорящее сообщество

2018 December 12

AA

Alex Akulov in DevSecOps - русскоговорящее сообщество
Я тут спрашивал цены на Энтерпрайз Волт, так вот если кому интересно
Vault Pro pricing is per cluster as follows: 
1. Primary Cluster - active
2. DR Cluster - standby

Pro with Silver support (M-F, 9x5):
Primary cluster: $35,000 per year
DR Cluster: $17,500 per year

Pro with Gold support (24x7):
Primary cluster: $55,000 per year
DR Cluster: $27,500 per year
- Please notes Gold support requires a minimum entry of $100,000 per year
источник

V

Vit in DevSecOps - русскоговорящее сообщество
Поделюсь, может тоже будет интересно, для налаживания отношений  https://devops-moscow.timepad.ru/event/872315/ :) Москва
источник
2018 December 13

PP

Pavel Pavlyuk in DevSecOps - русскоговорящее сообщество
Ребят, а кто-то пытается/пытался синхронизировать пользователей/группы из GSuit в Vault?

Я вдохновился их докой https://learn.hashicorp.com/vault/identity-access-management/iam-identity
Теперь хочу иметь identity/group и identity/entity синхронизированные с GSuit.
Нашел похожий идеологически верный прототип для kubernetes https://github.com/google-cloud-tools/kubernetes-rbac-synchroniser, там ребята синхронизируют GSuit с namespace в k8s.

Теперь думаю написать похожий тулинг, но только для Vault, может кто-то встречал что-то подобное? Интересуюсь дабы не делать велосипеды.
источник

RR

Roman Rusakov in DevSecOps - русскоговорящее сообщество
Все ldap штуки что есть а природе по слухам не умеют гугл группы
источник

PP

Pavel Pavlyuk in DevSecOps - русскоговорящее сообщество
ну это понятно, плагин для google oauth к vault есть, его просто надо будет немного дописать, чтобы он стал работать с identity/entity при авторизации. А вот сам пуллинг групп/пользователей из гкугла в vault я сходу не нашел
источник

RR

Roman Rusakov in DevSecOps - русскоговорящее сообщество
По слухам также из гитхаба группы достаются норм)
источник

RR

Roman Rusakov in DevSecOps - русскоговорящее сообщество
Я вот думаю стоит ли вообще завязываться на гугл
источник

PP

Pavel Pavlyuk in DevSecOps - русскоговорящее сообщество
норм, но не очень безопасно и там без концепции identity/entity, identity/group.
плагин работает на уровне авторизации
источник

AA

Alex Akulov in DevSecOps - русскоговорящее сообщество
Ты хочешь именно синхроницию групп из GSync в группы волта сделать или налету, при авторизации пользователя получать список GSync групп в которых он состоит?
источник

PP

Pavel Pavlyuk in DevSecOps - русскоговорящее сообщество
я хочу именно синхронизацию гуглогрупп в группы волта, как отдельная штука, не на лету
На лету эта штука реализована, но она как-то выбивается из волтовской идеологии
источник

С

Сергей in DevSecOps - русскоговорящее сообщество
А чем выбивается?
источник

AA

Alex Akulov in DevSecOps - русскоговорящее сообщество
Я могу судить только по ldap и там оно налету группы достаёт и политики под них применяет.
А просто синхронизацию вроде как ваще изи сделать.
источник

PP

Pavel Pavlyuk in DevSecOps - русскоговорящее сообщество
> А чем выбивается?
у них тут целй пейпер https://learn.hashicorp.com/vault/identity-access-management/iam-identity
если коротко, то для LDAP и подобных вещей они пердлагают использовать эфимерные представления пользователей к которым цеплять уже реальных пользователей/токены, а также эфимерные группы в которые входят эти эфимерные представления
источник

С

Сергей in DevSecOps - русскоговорящее сообщество
что мешает для Gsuite сделать также - динамически выдёргивать группы и ассоциировать с ними политики?
источник

С

Сергей in DevSecOps - русскоговорящее сообщество
identity мне показался применим только для случаев, когда надо объединять пользователей из нескольких разных систем аутентификации
источник

С

Сергей in DevSecOps - русскоговорящее сообщество
если у тебя все пользователи ходят через gsuite и только через него, то особого смысла в identity нет, просто выдавай политики сразу на основе группы
источник

RR

Roman Rusakov in DevSecOps - русскоговорящее сообщество
Alex Akulov
Я могу судить только по ldap и там оно налету группы достаёт и политики под них применяет.
А просто синхронизацию вроде как ваще изи сделать.
Это де такое?
источник

PP

Pavel Pavlyuk in DevSecOps - русскоговорящее сообщество
google не предоставляет при oauth авторизации информацию о группах пользователей
источник

PP

Pavel Pavlyuk in DevSecOps - русскоговорящее сообщество
т.е. это должен быть отдельный поход в гугл за информацией по группам пользователя
источник

KO

Karey Oke in DevSecOps - русскоговорящее сообщество
Есть вариант вообще заиспользовать keycloak как основной identity provider с использованием ldap. И ходить в Гугл через аккаунты в ldap
источник