领域修炼之路

微服务之配置管理(3)—— Vault的Secrets管理

现代系统需要访问大量的敏感信息如:数据库访问凭证,用于外部服务的API密钥,面向服务架构的通信凭据等,这使得了解谁正在访问什么敏感信息变得非常困难,并且往往是特定于某个平台。如果没有定制的解决方案,为系统添加密钥滚动切换,安全存储和详细的审计日志几乎是不可能的。

Vault

HashiCorp的Vault是一个安全访问Secrets的工具。Secrets是需要严格控制访问权限的任何内容,例如API密钥,密码,证书等。Vault为任何secret提供统一的接口,同时提供严格的访问控制并记录详细的审计日志。

其主要特性包括:

  • 安全的Secrets存储

任意键/值Secrets可以存储在Vault中。Vault在将这些Secrets写入永久存储器之前对其加密,因此访问原始存储器无法直接访问您的敏感信息。Vault可以将加密数据写入磁盘,Consul等等。

  • 动态的Secrets

Vault可以为某些系统(如AWS或SQL数据库)动态生成访问凭据。例如,当应用程序需要访问MySQL数据库时,它会向Vault询问凭据,Vault将根据需要生成具有有效权限的MySQL数据库访问密钥对。创建这些动态访问凭据之后,Vault还会在租期结束后自动撤销这些凭据。

  • 数据加密

Vault可以加密和解密数据而不存储。这允许安全团队定义加密参数,开发人员负责将加密的数据存储在诸如SQL数据库中而不必设计自己的加密方法。

  • 租赁和续约(Leasing and Renewal)

Vault中的所有Secrets都具有与其关联的租约。在租赁结束时,Vault会自动撤销该Secret。客户可以通过内置的更新API更新租约。

  • 撤销(Revocation)

Vault内置支持Secrets的撤销。Vault不仅可以撤销单个secret,而且可以撤销Secrets树,例如由特定用户读取的所有Secrets或特定类型的所有Secrets。撤销功能可以协助Secrets的滚动切换以及在入侵的情况下锁定系统。

Vault架构

在详解上述架构之前,先来看一下Vault架构所涉及的几个概念:

  • 存储后端(Storage Backend)

存储后端负责加密数据的持久存储。Vault不信任存储后端,并且仅期望其提供持久性存储功能。在启动Vault服务器时需要配置存储后端。

  • 屏障(Barrier)

屏障如同银行保险库的外层防护钢壳和围绕穹顶的混凝土。在Vault和存储后端之间流动的所有数据都通过屏障。该屏障确保仅输出加密数据,并且该数据在进入时被验证和解密。任何内部数据可以访问之前,障碍必须“开封”。

  • Secret后端(Secret Backend)

Secret后端负责管理Secrets。简单的Secret后端像“generic”后端在查询时简单地返回相同的secret。某些后端支持使用策略在每次查询时动态生成secret。这允许使用唯一的secret,可以让Vault进行细粒度的撤销和策略更新。例如,一个MySQL后端可以配置一个“web”策略。当读取“web”密码时,将生成一个新的MySQL用户/密码对,其仅具有Web服务器的有限权限集。

  • 审计后端(Audit Backend)

审计后端负责管理审计日志。来自Vault的每个请求和来自Vault的响应都将通过配置的审核后端。这提供了一种将Vault与不同类型的多个审核日志记录目标集成的简单方法。

  • 凭据后端(Credential Backend)

凭据后端用于验证连接到Vault的用户或应用程序。一旦验证,后端返回应用的适用策略列表。Vault接受经过身份验证的用户,并返回可用于将来请求的客户端令牌。例如,用户密码后端使用用户名和密码来认证用户。

  • 客户端令牌(Client Token)

客户端令牌在概念上类似于网站上的会话cookie。用户验证后,Vault会返回一个用于将来请求的客户端令牌。Vault使用令牌验证客户端的身份并强制实施适用的ACL策略。此令牌通过HTTP头传递。

  • Secret

Secret是Vault返回的包含机密或加密信息的任何内容。不是由Vault返回的所有内容都是Secret,例如系统配置,状态信息或后端策略不被视为Secrets。Secret总是有相关的租约,这意味着客户端不能假设Secret可以无限期地使用。Vault将在租赁结束时撤销Secret,并且维护人员可以在租赁结束之前进行干预以撤销Secret。

  • 服务器(Server)

Vault依赖于作为服务器运行的长时间运行的实例。 Vault服务器提供了一个API,客户端与之交互并管理所有后端之间的交互,ACL实施和Secret租用撤销。采用基于服务器的架构可以客户端与安全密钥及策略分离,实现集中式审计日志记录并简化操作员的管理。

再看上述Vault架构图,从图中可以看出组件被屏障Barrier清晰的隔离为内外两部分。只有存储后端和HTTP API位于外部,其他组件都位于屏障内部。存储后端是不可信的,被Vault用来存储加密后的数据。

Vault启动时处于密封(“sealed”)状态,在可以与其交互之前,Vault必须切换到启封(“unsealed”)状态。状态切换需要提供启封钥匙。Vault初始化时会生成一把加密密钥来保护所有的数据,这个加密密钥受主钥匙(master key)保护。默认情况下,Vault使用Shamir的密钥共享算法将主钥匙拆分为5份,必须提供5个密钥中任意3个来重建主钥匙。

主钥匙拆分的数量及用来重建主钥匙的最低份数都可以设置,也可以禁用Shamir的密钥共享算法,这时需要使用主钥匙直接启封Vault。一旦Vault检索到加密密钥,它就能够解密存储后端中的数据,并进入启封状态。取消密封后,Vault会加载所有配置的审计,凭据和Secrets后端。

当客户端首次连接到Vault时,需要进行身份验证。 Vault提供可配置的凭据后端(Credential Backend),为客户端提供灵活的身份验证机制,如操作人员可使用用户名/密码,GitHub验证,而应用可以使用公私钥或Token令牌验证。一个验证请求从Vault内核进入凭据后端,由其校验合法性并返回一个关联的策略列表。

策略只是一个命名的ACL规则,例如,“root”策略是一个内置策略,具有所有资源的访问权限。可以创建任意数量的命名策略来细粒度的控制访问路径。Vault以白名单模式运作,除非透过策略明确授予存取权限,否则不允许执行操作。由于用户可能具有多个关联的策略,因此如果任何一个策略允许,则允许操作。策略由内部策略存储库存储和管理,此内部存储通过系统后端操作,系统后端始终挂载在sys/下。

校验过程中,凭据后端通过提供的策略进行验证,如果验证通过会生成一个新的客户端令牌保存到令牌存储,并返回给客户端供后续请求使用。如果凭据后端的配置为客户端令牌设定了租约,则该客户端令牌必须周期性的生成以避免变得无效。

校验通过后,所有的请求必须提供令牌,通过令牌可以校验客户端是否得到授权并加载相关的策略,加载的策略用于校验用户特定操作是否得到授权。操作请求随后路由到Secrets后端,由其根据自身类型进行相应的处理。如果Secrets后端返回了一个secret,Vault内核会将其注册到过期管理服务并为其附加一个租用ID。客户端可以使用这个租用ID来撤销或重新生成其secret,如果客户端允许租约自动过期,则由过期管理服务负责secret的到期撤销。

Vault内核负责记录请求和响应并发送给审计总线,再由其存储到审计后端。在请求处理流程之外,Vault内核负责某些后台操作,如关键的租约管理可以撤销客户端令牌和自动撤销Secrets。此外,Vault通过使用回滚管理器使用预写写日志(write ahead logging)来处理某些部分故障情况的恢复。

Secret Backends

  • AWS
  • Cassandra
  • Consul
  • Cubbyhole
  • Generic
  • MongoDB
  • MSSQL
  • MySQL
  • PKI (Certificates)
  • PostgreSQL
  • RabbitMQ
  • SSH
  • Transit
  • Custom

Auth Backends

  • App ID
  • AppRole
  • AWS EC2
  • GitHub
  • LDAP
  • MFA
  • Okta
  • RADIUS
  • TLS Certificates
  • Tokens
  • Username & Password

Audit Backends

  • File
  • Syslog
  • Socket

Keywhiz

Keywhiz是Square开发的用于管理和分发秘密的系统。它可以很好地适应面向服务的体系结构(SOA)。

关于Keywhiz与Vault的对比可以参考:Vault vs. Keywhiz

参考

chrisrc wechat
更多信息请订阅我的微信订阅号