я привык о цифрах не болтать))))))

Все равно в итоге в конфиг приложению ляжет уже распакованный секрет, а не креды для vault. И если кто-то злобный получит доступ к конфигу приложения, придется менять пароли на тех эндпоинтах, от которых пароли были в том конфиге. Если приложение будет знать только как постучаться к vault и там взять секреты - можно будет просто отозвать токен приложения.

блин не тот интерфейс смотрел

ну в целом то тоже норм

угу

И с какими кредами оно может делать renew? Со старым токеном?

ну пока он не протух

Софтина nload может показывать текущий траф, и емнип у нее можно настроить источники трафика

iperf, не?

Хм. Интересно. А как вы первоначальный токен приложению отдаете? Вот, допустим, у меня токен в env приложения отдается при запуске контейнера. Приложение обновилось. Действительный токен откуда-то должен взяться. У CI есть права ходить в vault и токены выпускать?

ну да, релиз же в ci

не, трафик только по 22му порту =)
да я уже посмотрел 100 мегабит там вполне получается...
мне этого достаточно
но блин... видимо отправляющая с моей стороны софтина сильно томроизт

ну завернуть иперф в ссш вроде можно, https://unix.stackexchange.com/questions/291360/running-iperf-over-ssh

да я уже посмотрел что мне надо было явно софтина тормозит, знать бы только какая =(

действительно большинство использует vault агента для обновления секретов в файликах приложений, и если кто то злобные получает доступ к конфигу - узнает эти секреты, в этом случае как раз нужно эти секреты заменить, тут не нужно путать историю с плановой заменой секретов и неавторизованным доступом, так же как аутентификацию и авторизацию. Конечно лучше секреты хранить только в памяти (хотя и оттуда они извлекаются), а не в файлах, и каждый раз запрашивать в vault - причем ошибка авторизации по этому секрету - это повод запросить новый секрет из vault потому что именно так ротация часто и работает - заметили кто то некорректную авторизацию или утечку секрета - поменяли его в vault - все приложения кто его использовали - перезапросили в vault новый секрет после неуспешной авторизации по старому.

AWS SSM. Но если именно git хочется, то git-crypt

мне нужно ансиблом по sftp с паролем забрать файл 3,5 Гб. Пароль смог передать через expect. Timeout таски не получается увеличить на достаточное время. Пробовал запускать с nohup - так фокус expeсt и пароль не проходят. Чатик, есть идеи?

"у вас" это где?

в топовой айтишной компании РФ, которая скоро амазон обойдет, Сбере