Начну издалека - наш основной головняк заключается в огромном количестве учеток ботов с пошаренными кренделями. Соответственно уход любого сотрудника требует очень геморройной, а главное непредсказуемой ротации всего этого добра. Как осложнение - возможность ходить на боксы у пользователей, т.е. гипотетически они даже не зная кренделей могли их выудить с сервака - хардкод, переменные и память, все как у всех.

Собственно попытка решить эти вопросы Волтом предсказуемо провалилась ибо Волт не под это заточен. Что придумали:
- радикально сократить число людей, знающих секреты, доверив это дело автоматике
- дабы обломать особо ушлых юзеров на боксах, генерировать и ротировать секреты той же автоматикой раз в сутки
- юзать Волт как способ секурного хранения и доставки кренделей

Посему родилась идея, что нужен брокер, который бы рулил процессами ротации и раскладки секретов. Итак, брокер:
- заряжается чем-то вроде мастер пароля, затем
- генерит по запросу секрет и кладет его в LDAP и в Волт
- генерит в Волте токен для доступа к этому секрету
- через 24 часа ротирует и секрет и токен для доступа к нему.

Соответственно скрипт/бот по токену достают секрет и с его помощью дальше что-то делают аутентифицируясь через LDAP. Через сутки или в случае увольнения сотрудника - повторить.
В этой схеме есть ряд весомых ограничений: если секрет вовремя не доедет до системы есть шанс просто эпично все сломать.

Vault и секреты это иные сущности

Гг, мне кажется просто есть некая костность мышления, или хашикорп всем нагипнотизировал в мозг. Волт он просто лишний и все

У нас есть секрет который меняется раз в три года но мы его положим в волт и будем дергать на каждый запрос с новым токеном чтоб секурней было

То же и про межсервисные секреты которые по факту просто разрешения

Можно/нельзя

Так почему бы полисями не заменить?

Они довольно агрессивно маркетуют, поэтому да, они многим в мозг насрали. Я сам на их байки повелся и разрекламировал команде, а потом как дошло до дела и тестов, я выглядел очень бледно

А шанс все эпично сломать есть же всегда при погоне за security

В одном месте закрыли, в другом об этом не узнали - легли

Про маркетинг - разумеется. Но про Istio (Envoy, Linkerd) сейчас отовсюду слышно. И его (service mesh) тоже неслабо везде пиарят.

И поэтому
https://blog.jessfraz.com/img/sheep.gif

Волт не заточен под пользователей, которые ходят на боксы, это да

И я не знаю, у кого там что в мозгах, но мне хашикорп ничего не гипнотизировал, а проблемы с секретами с помощью волта решить удалось. В результате секреты не лежат где попало и видят их далеко не все, а только те, кому действительно нужно, т.е. в основном автоматика.

Ну мне просто кажется можно и без волт не ложить где попало и не показывать всем

А большую часть просто убрать

Как ненужные

Ну да ладно, вброс не зашёл :)

Када 100500 сервисов становится накладно помнить где обновили секреты, где нет. Тут в 1 месте

коллеги, ну у хашикорпа на сайте даже описана модель угроз и как они митигируют их. нет абсолютной защиты, но всегда можно накинуть аудит, динамические секреты, бастионные хосты и всё остальное, что народ называет "безопасность"