„PowerShell“: saugiai atgaukite ir saugokite „Hashicorp Vault“ žetonus

Užtikrinant saugią prieigą prie „Hashicorp“ skliauto su „PowerShell“

„Hashicorp Vault“ yra galinga paslapčių valdymo priemonė, tačiau labai svarbu saugiai tvarkyti autentifikavimo žetonus. Daugelis kūrėjų naudoja „PowerShell“ scenarijus sąveikauti su skliautu, gaudami laikinus žetonus, kad galėtų pasiekti. Tačiau šie žetonai pasibaigia greitai, todėl reikia efektyvių saugojimo sprendimų. 🔒

Įsivaizduokite scenarijų, kai jūsų scenarijus sėkmingai nuskaito skliauto prieigos raktą, tačiau kai bandai išsaugoti jį vėlesniam naudojimui, failas išlieka tuščias. Ši problema gali sutrikdyti automatinius procesus, priversdami pakartoti autentifikavimo užklausas. Svarbu rasti patikimą būdą saugoti ir gauti žetoną per jo galiojimo laikotarpį. ⏳

Šiame vadove mes ištirsime, kaip gauti „Hashicorp Vault“ prieigos raktą naudojant „PowerShell“ ir saugiai išsaugoti jį faile. Mes apžvelgsime įprastas spragas, tokias kaip tuščias failų kūrimas, ir pateiksime patikimą metodą, kaip užtikrinti, kad prieigos raktas būtų teisingai saugomas. Įdiegę šią geriausią praktiką, autentifikuosite autentifikavimą, išlaikydami savo kredencialus.

Nesvarbu, ar automatizuojate debesų diegimą, ar užtikrinate CI/CD vamzdynus, efektyviai valdant skliautų žetonus galite sutaupyti laiko ir sumažinti riziką saugumui. Pasinerkime į sprendimą ir įsitikinkime, kad jūsų žetonai yra kaupiami ir atkuriami patikimai!

„Vault“ žetonų saugojimas ir valdymas su „PowerShell“

Dirbant su „Hashicorp Vault“, labai svarbu valdyti autentifikavimo žetonus. Anksčiau pateiktuose „PowerShell“ scenarijuose siekiama atkurti, saugiai laikyti ir vėliau pakartotinai panaudoti skliauto prieigos raktą. 4 valandų galiojimo laikotarpis. Pirmasis scenarijus autentifikuoja su skliautu naudojant vaidmens ID ir slaptą ID, atgautą kliento prieigos raktą. Tada šis žetonas įrašomas į failą, užtikrinant, kad jį galima pasiekti vėliau. Tačiau bendra problema iškyla, kai failas lieka tuščias dėl netinkamo atsakymo tvarkymo. Ši problema išspręsta užtikrinant, kad žetonas būtų tinkamai išgaunamas ir išsaugotas.

Saugumas yra pagrindinis rūpestis saugant autentifikavimo žetonus. Tiesiog išsaugoti žetoną kaip paprastą tekstą faile yra bloga praktika, nes jis atskleidžia jautrius kredencialus. Norėdami tai kovoti, antrasis scenarijus užšifruoja ženklą prieš jį saugodamas. Tai daroma naudojant „Convertto“ saugus paversti žetoną į apsaugotą formatą ir „ConvertFrom“ -„Klavering“ Norėdami užšifruoti jį su atsitiktinai sugeneruotu raktu. Tai darydami, net jei neteisėtas asmuo įgyja prieigą prie failo, jis negalės perskaityti prieigos rakto be rakto. 🔒

Ne mažiau svarbu gauti ir naudoti saugomą žetoną. Trečiasis scenarijus nuskaito užšifruotą prieigos rakto failą, įkelia šifravimo raktą ir iššifruoja žetoną. Tada iššifruotas prieigos raktas naudojamas API užklausoms pateikti į skliautą. Šis požiūris yra naudingas automatizuotoje aplinkoje, kai scenarijams gali tekti iš naujo patvirtinti be rankinės intervencijos. Pavyzdžiui, CI/CD vamzdynui, diegiančiai infrastruktūrą, gali prireikti laikinos prieigos prie skliautų paslapčių, nesukuriant vartotojo pakartotinai prisijungti. ⏳

Galiausiai būtina užtikrinti šių scenarijų patikimumą. Paskutiniame scenarijuje naudojamas Pakerėti, „PowerShell“ testavimo sistema, siekiant patikrinti, ar žetonų saugojimo ir gavimo procesai veikia taip, kaip tikėtasi. Testai Patikrinkite, ar žetono faile yra duomenys ir ar iššifruotas žetonas sutampa su originalu. Šis metodas yra ypač naudingas gamybos aplinkoje, kai autentifikavimo tvarkymo nesėkmės gali sutrikdyti paslaugas. Įdiegę šią praktiką, vartotojai gali užtikrinti sklandų, saugų sąveiką su „Hashicorp Vault“, tuo pačiu sumažindami saugumo riziką.

# Approach 1: Basic Token Retrieval and Storage
$vaultAddress = "https://vault.example.com"
$vaultNamespace = "admin"
$secretID = "your-secret-id"
$roleID = "your-role-id"
$authURL = "$vaultAddress/v1/auth/approle/login"
$body = @{ role_id = $roleID; secret_id = $secretID } | ConvertTo-Json
$response = Invoke-RestMethod -Uri $authURL -Method Post -Body $body -ContentType "application/json"
$token = $response.auth.client_token
$token | Out-File -FilePath "C:\Vault\token.txt" -Encoding utf8

# Generate a secure key for encryption
$key = New-Object Byte[] 32
[Security.Cryptography.RNGCryptoServiceProvider]::Create().GetBytes($key)
[System.Convert]::ToBase64String($key) | Out-File "C:\Vault\key.txt"

# Encrypt the token
$secureToken = ConvertTo-SecureString $token -AsPlainText -Force
$encryptedToken = ConvertFrom-SecureString $secureToken -Key $key
$encryptedToken | Out-File "C:\Vault\token.sec"

# Load encryption key
$key = Get-Content "C:\Vault\key.txt" | ConvertFrom-Base64String

# Load and decrypt token
$encryptedToken = Get-Content "C:\Vault\token.sec"
$secureToken = ConvertTo-SecureString $encryptedToken -Key $key
$token = [System.Runtime.InteropServices.Marshal]::PtrToStringAuto([System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($secureToken))

# Use the token to access Vault
$headers = @{ "X-Vault-Token" = $token }
Invoke-RestMethod -Uri "$vaultAddress/v1/secret/data/example" -Headers $headers -Method Get

Describe "Vault Token Handling" {
    It "Should retrieve a valid token" {
        $token = Get-Content "C:\Vault\token.txt"
        $token.Length | Should -BeGreaterThan 0
    }
    It "Should decrypt the stored token correctly" {
        $decryptedToken = (ConvertTo-SecureString (Get-Content "C:\Vault\token.sec") -Key (Get-Content "C:\Vault\key.txt" | ConvertFrom-Base64String))
        $decryptedToken | Should -Not -BeNullOrEmpty
    }
}

„Vault Token Management“ patobulinimas su prieiga prie vaidmenų

Vienas kritinis darbo su Hashicorp skliautas ir „PowerShell“ saugiai valdo leidimus. Bendraudami su žetonais, būtina laikytis principo mažiausia privilegija. Tai reiškia, kad skirtingiems vartotojams ar paslaugoms reikia priskirti konkrečius vaidmenis, kad jie turėtų prieigą tik prie reikalingų paslapčių. Naudodamiesi „Vault“ pritarimo autentifikavimo metodu, mes galime sugeneruoti trumpalaikius žetonus automatizavimo scenarijams, išlaikydami paslėptus slaptus kredencialus.

Pavyzdžiui, jei „DevOps“ komandai reikia automatizuoti diegimą, o ne kodituojant kredencialus, jie gali sukonfigūruoti skliautą, kad išleistų laikinus žetonus, remiantis iš anksto apibrėžta politika. Nustatydami skliautų vaidmenis su ribotais leidimais, jie gali užtikrinti, kad jų scenarijai galėtų perskaityti tik tam tikras paslaptis, sumažindami atsitiktinių duomenų nutekėjimo riziką. Tai ypač naudinga debesų aplinkoje, kur kelios paslaugos sąveikauja dinamiškai.

Kita saugumo priemonė yra žetonų atnaujinimo ir atšaukimo mechanizmų įgyvendinimas. Iš skliauto gautų žetonų dažnai pasibaigia galiojimo laikas, tačiau kai kurioms darbo eigoms reikia ilgalaikių procesų, kad būtų išlaikyta prieiga. „PowerShell“ scenarijai gali tvarkyti žetonų atnaujinimą naudodami suplanuotas užduotis ar fono užduotis, užtikrindami nepertraukiamą autentifikavimą. Panašiai, jei žetonas yra pažeistas, administratorius gali jį nedelsdamas atšaukti, užkirsdamas kelią neteisėtai prieigai. Šie pažangios valdymo metodai pagerina saugumą, tuo pačiu leidžia sklandžiai automatizuoti. 🔐