Meilleure pratique client Hashicorp Vault

Question

J'ai une application utilisant Hashicorp Vault pour stocker un nom d'utilisateur et un mot de passe secret. L'application est déployée sur une plate-forme d'hébergement cloud et a transmis un jeton en tant que variable d'environnement. Au démarrage de l'application, le secret est lu depuis le coffre à l'aide du jeton et utilisé pour ouvrir une session vers un service distant. L'application et la session au service distant sont de longue durée. Si tout se passe bien, l'application redémarre rarement et lit donc rarement le coffre-fort. Lorsque l'application redémarre, le jeton a probablement expiré, entraînant un échec.

Existe-t-il un guide des meilleures pratiques sur la façon dont les clients doivent utiliser le coffre-fort? La durée de vie du jeton peut être prolongée, mais plus la durée de vie est longue, plus la sécurité est compromise. L'application pourrait rétablir la session avec le service distant chaque fois que cela est nécessaire, mais ce serait inefficace. Y a-t-il une autre alternative que je ne considère pas? Toute réflexion sera apprécié.

Answer 1

Vous devez utiliser App Roles au lieu de passer un jeton simple. Dans ce cas, vous créez un ID de rôle dans votre application, puis déployez un ID secret pour ce rôle dans votre variable d'environnement. Votre application peut ensuite les combiner pour obtenir un jeton réel de Vault au démarrage et renouveler périodiquement ce jeton lorsqu'il est en cours d'exécution.