Хранилище секретов для приложений. Vault // Курс «Инфраструктурная платформа на основе Kubernetes»

• Михаил Чугунов, ведущий инженер, представляет вебинар о хранилище секретов для приложений.  

• Михаил имеет опыт работы в различных компаниях и автоматизации бизнес-процессов.  

• Рассмотреть варианты хранения секретов, включая ванильное хранилище секретов для куберне.  

• Рассмотреть использование стороннего хранилища в рамках кубер кластера.  

• Пароли, автогенеренные и заданные пользователем, системные пароли, ключи доступа к приложениям и базам данных, одноразовые пароли, сертификаты, приватные и рутовые ключи.  

• GitHub Secrets, Gitlab Secrets, Jenkins Secrets, Jira Secrets, Cloud Providers (Amazon, Google, Yandex).  

• Облачные хранилища предлагают различные варианты хранения секретов и их использования.  

• Губернатор - это дешего угла, имеет ванильную хранил секретов.  

• Создание секрета: через консоль, файл или через волюма.  

• Шифрование секретов: кмс, сик бокс, ас си би си и др.  

• Волт может хранить секреты в разных местах: на той же машинке, консуле, мескуэле, монгу и др.  

• Кластеризация, система политик, интеграция с gitlab, REST API, аутентификация (юзерпас, токены, внешние API).  

• Проблема: секреты были везде, приходилось заводить огромные страницы с конфлюенсом.  

• Решение: использование единого хранилища (волт, амазон, яндекс, дженкинс).  

• Транзитное шифрование при передаче данных между клиентом и болтом.  

• В видео обсуждаются сложности с динамическими секретами, такими как такены и сертификаты, которые нужно обновлять периодически.  

• Автосил - это функция, которая автоматически генерирует и обновляет секреты, но не умеет делать это для других болтов.  

• Запуск валта осуществляется с помощью пяти команд, включая запуск в деф режиме и инициализацию хранилища.  

• Инициализация хранилища включает в себя ввод рутового ключа и антила ключа для доступа к хранилищу.  

• Секретные двигатели - это компоненты для хранения, генерации и шифрования секретов.  

• Жизненный цикл секретных двигателей включает в себя включение, выключение и перемещение через муф.  

• Секретные двигатели могут использоваться для хранения стандартных ключей, сертификатов, баз данных и других секретов.  

• Создание и использование динамических секретов, которые создаются только по требованию и имеют ограниченный доступ.  

• Возможность ограничения срока жизни секретов и отзыва их в случае компрометации.  

• Политики задаются файлами правил, которые имеют формат JSON.  

• Политики определяют, какие секреты могут быть прочитаны, обновлены, удалены и т.д.  

• Использование команды bolt audit для логирования всех действий с хранилищем секретов.  

• Возможность логирования в файл, в систему логирования или удаленно.  

• Использование различных методов аутентификации: стандартный юзерпас, токен, TSL, Kubernetes, PKI.  

• Настройка и использование команды put для добавления секретов в хранилище.  

• Губернеа обеспечивает сохранность конфиденциальных данных при работе приложений в кластере.  

• Настройка и использование губернеа для подключения к хранилищу секретов.  

• Волт-агент используется для автоматической модификации и обновления токенов, а также для рендеринга шаблонов с автопостановкой новых секретов.  

• Волт-агент может взаимодействовать с кей-лаком и другими системами аутентификации, предоставляя пользователю доступ к необходимым секретам.  

• Волт-агент может быть интегрирован с gitlab и jenkins для получения динамических секретов и токенов.  

• В случае с jenkins, используется плагин для интеграции с волт-агентом.  

• Волт-агент может быть интегрирован с argocd для создания и обновления секретов в губернатор-кластере.  

• В случае с flag, используется отдельный провайдер для взаимодействия с волт-агентом внутри губернатор-кластера.  

• В Kubernetes можно хранить приватные ключи, сертификаты и другие секреты.  

• Сай-провайдер - интерфейс для подключения к Kubernetes, аналог ска.  

• Да, возможно, но обычно используется ручной подход.  

• Плагин для обновления значений через харт рефреш не используется.  

• Обучение на версии Kubernetes 1.24, курс длится 5 месяцев.  

• Необходимые знания: Linux, Docker, Kubernetes, Git, Gitlab, GITLAB CI/CD, мониторинг и логирование.  

• Курс включает в себя инфраструктурную платформу, связь с практиками, углубленное изучение Kubernetes, проектную работу и трудоустройство.  

• В ноябре 2023 года в России доступно 3461 вакансия для инженеров, работающих с Kubernetes.  

• Зарплатные предложения: медиана в районе 160 тысяч рублей, требования: знание архитектуры Kubernetes, опыт работы с Docker, Terraform, PostKube и облачными провайдерами.  

• Видео обсуждает различные варианты хранения секретов, включая использование скриптовых языков, Kubernetes, Docker, Gitlab и Grafana.  

• Обсуждаются навыки, необходимые для работы с этими инструментами, включая опыт работы с Kubernetes, написание Helm чартов, использование операторов и Docker.  

• Вебинар обсуждает важность хранения секретов и выбора правильного хранилища для обеспечения безопасности данных компании.  

• Сторонние инструменты, такие как Short, могут быть сложными в выборе из-за необходимости создания больших таблиц и сравнения различных вариантов.  

• Несмотря на это, они продолжают использоваться в современной разработке.  

• Вебинар завершается благодарностью за участие и напоминанием о следующем открытом уроке, который состоится 26 декабря.