Лекция 128: Защита конфигураций с использованием HashiCorp Vault

Проблема защиты конфигурации начинается там, где появляются конфиденциальные данные, такие, как пароли к базам данных, ключи API, токены и сертификаты. Если ваша конфигурация лежит в открытом доступе в репозитории Git, у вас в команде — "пригласите хакера". Стоит помнить: такие утечки могут привести к серьёзным проблемам — кража данных, блокировка аккаунтов или даже репутационный ад на собеседованиях.

Рассмотрим основные угрозы:

• Утечка секретов. Пароли, переданные "в явном виде", могут быть случайно опубликованы репозиториев.
• Подмена конфигурации. Если конфиги не защищены, кто-то может их модифицировать.
• Нарушения регуляторов. Например, в некоторых системах (GDPR, HIPAA) хранение токенов без шифрования вообще запрещено.

Очевидно, что централизованное управление конфигурациями с безопасным хранилищем секретов — это необходимость. Тут-то и появляется HashiCorp Vault.

Что такое HashiCorp Vault?

HashiCorp Vault — это инструмент для управления секретами и конфиденциальными данными. Vault позволяет безопасно хранить, получать и управлять доступом к таким данным. По сути, это что-то вроде банка для ваших секретов, где дверь закрывается на 20 замков и при каждом открытии создаётся журнал записи.

Основные возможности Vault:

• Централизованное хранилище секретов.
• Простое управление доступом к секретам (политики, роли, токены).
• Динамическая выдача секретов — например, создание временных паролей для баз данных.
• Логирование всех операций для аудита.
• Поддержка различных backends (файловая система, консоль, облако).

Интеграция Vault с Spring Cloud

Spring Boot и Spring Cloud поддерживают интеграцию с Vault "из коробки". Вы можете настроить Vault через Spring Cloud Vault, что позволяет безопасно "подтягивать" секреты из централизованного хранилища прямо в вашем приложении. Это особенно удобно для микросервисных архитектур.

Установка локального экземпляра Vault

Для начала давайте установим Vault локально, чтобы протестировать его функционал. Установка проста и доступна: официальная документация HashiCorp Vault.

1. Скачивание и установка:
   • Перейдите на официальную страницу загрузки и скачайте Vault для своей операционной системы.
   • Разархивируйте и поместите исполняемый файл vault в папку, доступную из PATH.
2. Запуск Vault в режиме разработки:

   vault server -dev
   

   Vault запустится в dev-режиме, и вы увидите сообщение, содержащее токен для доступа. Скопируйте его.
3. Инициализация клиента Vault: В другом терминале выполните:

   export VAULT_ADDR='http://127.0.0.1:8200'
   export VAULT_TOKEN='ваш_токен_из_dev_режима'
   

Хранение секретов в Vault

Создадим простой секрет — например, пароль к базе данных.

1. Сохранение данных в Vault:

   vault kv put secret/myapp/database username=admin password=supersecurepassword
   

   Здесь:

   • secret/myapp/database — путь хранения секрета.
   • username=admin и password=supersecurepassword — данные секрета.
2. Чтение данных из Vault:

   vault kv get secret/myapp/database
   

   Вы увидите сохранённые ранее ключи.

Интеграция Vault с Spring Boot

Теперь подключим Vault к приложению Spring Boot.

Настройка проекта

1. Добавление зависимости: В pom.xml добавьте:

   <dependency>
       <groupId>org.springframework.cloud</groupId>
       <artifactId>spring-cloud-starter-vault-config</artifactId>
   </dependency>
   

2. Настройка application.yml:

   spring:
     cloud:
       vault:
         uri: http://127.0.0.1:8200
         token: ваш_токен_из_dev_режима
         kv:
           enabled: true
           backend: secret
         application-name: myapp
   

   Здесь:

   • uri — адрес локального сервера Vault.
   • token — токен для доступа к Vault.
   • backend — используемый бэкенд для хранения данных (в данном случае secret).
   • application-name — название приложения, которое Vault использует для поиска секретов.
3. Чтение секретов в приложении: Теперь вы можете использовать свойства из Vault напрямую в вашем коде:

   
   @Value("${database.username}")
   private String username;
   
   @Value("${database.password}")
   private String password;
   

Динамическое управление секретами

Vault поддерживает интересную функцию — динамическую выдачу секретов. Например, вместо использования статического пароля, Vault может сгенерировать временный пароль для подключения к базе данных. Это особенно полезно для повышения безопасности.

Пример настройки динамических секретов

1. Настройка движка баз данных: предположим, у нас есть PostgreSQL. Настроим его в Vault:

   vault secrets enable database
   vault write database/config/my-database \
     plugin_name=postgresql-database-plugin \
     allowed_roles="readonly" \
     connection_url="postgresql://username:password@localhost:5432/mydb?sslmode=disable"
   

2. Создание роли для выдачи временных паролей:

   vault write database/roles/readonly \
     db_name=my-database \
     creation_statements="CREATE ROLE \"{{name}}\" WITH LOGIN PASSWORD '{{password}}' VALID UNTIL '{{expiration}}';" \
     default_ttl="1h" \
     max_ttl="24h"
   

3. Получение временного пароля:

   vault read database/creds/readonly
   

В ответ вы получите уникальный пароль, который истечёт через час.

Защита и шифрование секретов

Vault не только хранит данные, но и шифрует их. Для изоляции данных между приложениями используйте политики доступа. Например, вы можете разрешить доступ только отдельным микросервисам.

Пример политики: Создадим файл readonly-policy.hcl:

path "secret/myapp/database" {
  capabilities = ["read"]
}

Применим эту политику:

vault policy write readonly readonly-policy.hcl

Теперь сервисы с этой политикой могут только читать указанные секреты.

Практическое использование

Интеграция Vault в реальных проектах обеспечивает не только безопасность, но и удобство работы с конфигурациями. Примеры использования:

• Хранение токенов API (например, для сторонних сервисов: Stripe, SendGrid).
• Управление данными подключения к базам данных или очередям сообщений.
• Шифрование и дешифрование данных (например, для конфиденциальных файлов).

Используя Vault, вы можете избежать утечек конфиденциальных данных, улучшить управление конфигурациями и соответствовать лучшим практикам безопасности.

Бонус: HR оценит, если вы упомянете HashiCorp Vault на собеседовании!