Hashicorp Vault - Создание Auth лексем Только не читайте секреты

Question

Я использую Hashicorp Vault:

https://www.vaultproject.io/

Я хочу, чтобы пользователь, который может создавать новых пользователей, но не может читать свои секреты ,

бы я просто создать политику, как:

path "sys/auth/token/*" { 
    policy = "write" 
} 

, поскольку все политики настроены отрицать?

Answer 1

Это был неправильный способ использования хранилища. Это были мои ошибки:

• Пытается хранить пароли пользователей. Для меня лучше обрабатывать пароли платформы, такие как встроенные временные учетные данные postgre.
• Пытается удалить любые следы ключей аутентификации на сервере. Если пользователи хранилища будут созданы автоматически, учетные данные Vault должны будут существовать где-то в сценарии или файле с соответствующими разрешениями.
• Попытка уменьшить корневой сервер. Если у кого-то есть корневой доступ, возникают большие проблемы. Шифрование может смягчать утечку данных, например, дамп базы данных. Утечки данных, если корневой доступ был скомпрометирован в моем случае, должны быть приняты. Лучше всего сосредоточиться на том, чтобы не укорениться.