Обзор

Ротация root токена в HashiCorp Vault

1 января 2024 г.
1 минута
Important (Требования)

Для замены root токена в Vault необходимо:

  • Vault должен находиться в состоянии unsealed
  • Наличие unseal ключей в количестве, достаточном для кворума
  • Текущий root токен не требуется для процедуры ротации

Инициализация процедуры генерации

Запустите процедуру генерации нового root токена:

Инициализация генерации root токена
vault operator generate-root -init

В ответ Vault предоставит:

  • nonce — идентификатор сессии
  • OTP (одноразовый пароль) — потребуется для расшифровки нового токена
Warning (Важно)

Сохраните OTP код в безопасном месте. Без него невозможно расшифровать новый root токен.

Ввод unseal ключей

Каждый держатель unseal ключа должен ввести свой ключ. Процесс аналогичен распечатыванию (unseal) Vault:

Ввод unseal ключа
vault operator generate-root
Note (Распределенные ключи)

Если unseal ключи находятся у разных людей, каждый должен последовательно ввести свой ключ. После ввода всех необходимых ключей последний участник получит зашифрованный новый root токен.

Расшифровка нового токена

Используйте полученный зашифрованный токен и сохраненный OTP для расшифровки:

Расшифровка нового root токена
vault operator generate-root -decode=<зашифрованный_токен> -otp=<OTP>

В результате вы получите новый root токен в открытом виде.

Отзыв старого root токена

После успешной генерации нового токена Vault будет иметь два активных root токена. Старый токен необходимо отозвать:

Отзыв старого root токена
vault token revoke <старый_root_токен>
Warning (Внимание)

При отзыве токена все дочерние токены, созданные с его помощью, также будут автоматически отозваны.

Сохранение дочерних токенов

Если необходимо сохранить токены, которые были сгенерированы из под старого root токена, используйте флаг -mode=orphan:

Отзыв токена без отзыва дочерних
vault token revoke -mode=orphan <старый_root_токен>
Tip (Рекомендация)

Используйте режим orphan только если действительно необходимо сохранить дочерние токены. В большинстве случаев рекомендуется полный отзыв для обеспечения безопасности.

Дополнительные ресурсы