Лекція 226: Захист конфіденційних даних: використання Vault

У цій лекції ми зануримось у світ захисту "скарбів" нашого додатку: секретів, токенів, API-ключів і інших конфіденційних даних. Сьогодні говоримо про HashiCorp Vault!

Уявіть: ви випадково запушили в GitHub пароль від бази даних. Через 30 хвилин ваш продакшн впав — хтось майнить криптовалюту на ваших серверах.

А тепер уявіть, що у вас:

• 20 мікросервісів
• У кожному — свої паролі й ключі
• Три оточення (dev, test, prod)
• Команда з 10 розробників

Як зазвичай зберігають секрети (і чому це погано)

Варіант 1: У коді

String dbPassword = "super_secret_123"; // Будь ласка, не робіть так!

Рано чи пізно це потрапить у Git. І тоді... див. історію про майнінг криптовалюти вище.

Варіант 2: У конфігураційних файлах

database:
password: another_secret_123 # Теж не найкраща ідея

Ті ж проблеми, що й з кодом. Плюс треба якось роздавати ці файли розробникам.

Варіант 3: У змінних оточення

export DB_PASSWORD=yet_another_secret

Краще! Але як керувати сотнею змінних на десятку серверів?

HashiCorp Vault поспішає на допомогу

Vault — це як сейф для ваших секретів. Але розумний! Подивімося, що він вміє:

• Знає, хто й коли відкривав сейф
• Може сам змінювати ключі й паролі
• Вміє працювати з різними типами секретів
• Інтегрується зі Spring Boot (і не тільки)

Що вміє Vault?

1. Зберігає секрети централізовано

• Більше ніяких .env файлів на кожному сервері
• Усі секрети в одному місці
• Доступ суворо контролюється

2. Генерує тимчасові дані

{
"db_credentials": {
"username": "app_1234",
"password": "temp_pass_5678",
"ttl": "1h"
}
}

Через годину ці дані стануть недійсними. Автоматично!

3. Веде аудит

• Хто запитував пароль від бази?
• Коли востаннє оновлювали API-ключі?
• Який сервіс використовує застарілі облікові дані?

Інтеграція зі Spring Boot

Spring Boot + Vault = ♥️

Виглядає це приблизно так:

spring:
cloud:
vault:
host: vault.company.com
token: my-token

@Value("${secret.db.password}")
private String dbPassword; // Магічно отримуємо з Vault!

Основні функції Vault

Vault дає купу можливостей, ось деякі з них:

Vault підтримує різні backend-сховища (як файлові системи, так і хмарні провайдери) для керування секретами.

Альтернативні рішення

Чому саме Vault? Порівняймо з іншими популярними рішеннями:

AWS Parameter Store

• Чудово працює в AWS
• Безкоштовний (майже)
• Але прив'язаний до Amazon

Apache ZooKeeper

• Перевірений часом
• Чудово масштабується
• Але складний у налаштуванні
• І секрети — не його основне завдання

Etcd

• Улюбленець Kubernetes
• Швидкий і надійний
• Але більше підходить для конфігурацій, ніж для секретів

HashiCorp Vault

• Створений спеціально для секретів
• Чудово працює будь-де
• Вміє в динамічні секрети
• Інтегрується зі всім на світі

Типи сховищ у Vault

Key-Value (KV)

• Просте сховище ключ-значення
• Ідеально для паролів та API-ключів
• Підтримує версіонування

База даних

• Динамічні креденшали для БД
• Автоматична ротація паролів
• Підтримує PostgreSQL, MySQL, MongoDB та інші

PKI

• Генерація SSL/TLS сертифікатів
• Управління кореневими та проміжними CA
• Автоматичне оновлення

Трохи детальніше про інтеграцію HashiCorp Vault зі Spring

Spring Boot використовує конфігурації, задані в application.properties або application.yml, щоб підключитися до Vault. Після підключення застосунок може завантажувати секрети, ніби це звичайні властивості.

Приклад використання:

1. Секрети у Vault (наприклад, за шляхом secret/data/myapp):

   
   {
       "data": {
           "username": "admin",
           "password": "s3cr3t"
       }
   }
   

2. Доступ до секретів у Spring Boot:

   
   spring:
     cloud:
       vault:
         uri: http://localhost:8200
         token: my-root-token
         kv:
           enabled: true
           backend: secret
           default-context: myapp
   

   Секрети тепер доступні в додатку як властивості username і password. Наприклад, ви можете використати їх у @Value:

   
   public class Credentials {
   
       @Value("${username}")
       private String username;
   
       @Value("${password}")
       private String password;
   
       // Гетери, сетери або просто метод для логіки
   }
   

Які проблеми вирішує Vault?

1. Безпека

• Секрети не зберігаються в коді
• Кожен отримує лише потрібні йому дані
• Усі дії логуються

2. Автоматизація

• Автоматична зміна паролів
• Інтеграція з CI/CD
• API для всього

3. Масштабованість

• Працює і з одним сервісом, і з тисячею
• Підтримує кластеризацію
• Інтегрується з хмарами

Що далі?

HashiCorp Vault — це потужний інструмент, що дозволяє максимально безпечно керувати конфіденційними даними. Налаштувавши його в вашому додатку, ви не лише забезпечите надійний захист даних, а й зможете спати спокійно, знаючи, що ніякий API-ключ випадково не засвітиться в вашому репозиторії. На наступній лекції ми:

• Встановимо Vault
• Налаштуємо інтеграцію зі Spring Boot
• Навчимося зберігати і отримувати секрети
• Подивимось на все це в дії