Hashicorp Vaultクライアントのベストプラクティス

Question

Hashicorp Vaultを使用してユーザー名とパスワードの秘密を保存するアプリケーションがあります。アプリケーションはクラウドホスティングプラットフォームにデプロイされ、環境変数としてトークンが渡されます。アプリケーションの起動時に、シークレットはトークンを使用してボールトから読み取られ、リモートサービスへのセッションを開くために使用されます。リモートサービスへのアプリケーションとセッションは長期間存続します。すべてがうまくいけば、アプリケーションはめったに再起動しないため、ボールトから読み込むことはめったにありません。アプリケーションが再起動すると、トークンが期限切れになり、失敗する可能性があります。

クライアントがボールトを使用する方法に関するベストプラクティスガイダンスはありますか？トークンの存続期間は延長することができますが、存続期間が長ければ長いほどセキュリティが損なわれます。アプリケーションは、必要になるたびにリモートサービスとのセッションを再確立できますが、これは非効率的です。私が考えていない別の選択肢がありますか？いかなる考えも認められるだろう。

Answer 1

プレーントークンではなく、App Rolesを使用する必要があります。ここでは、あなたのアプリケーションにロールIDを焼き付け、そのロールの秘密のIDを環境変数にデプロイします。

アプリは起動時にこれらを組み合わせてVaultから実際のトークンを取得し、実行中のトークンを定期的に更新することができます。