会社キーと HashiCorp Vault サーバーキーを準備します。

次のコマンドを使用して、キーファイルを生成します:

openssl genrsa -aes256 -out company.key 4096
openssl genrsa -aes256 -out vault.key 2048

これらのコマンドは、会社の秘密キー (company.key) および Vault サーバーの秘密キー (vault.key) を保持するファイルを生成します。 鍵はそれぞれ 4,096 ビットと 2,048 ビットのランダムに生成された RSA 鍵です。

各コマンドでは、パスワードの入力を求められます。 (テスト目的では、パスワードは必要ありません。 無効にするには、-aes256 引数を省略します。)

キーファイルは機密情報を保持し、セキュアな場所に格納する必要があります。 パスワードは後で必要になるため、書き留めて安全な場所に格納します。

(オプション) キーファイルの内容と有効性を確認するには、次のコマンドを使用します:

openssl rsa -in company.key -check
openssl rsa -in vault.key -check

会社の CA 証明書を作成します。

365 日間有効な company.crt という名前の会社の CA 証明書ファイルを作成するには、次のコマンドを使用します (コマンドは単一行で入力します):

openssl req -x509 -new -nodes -key company.key
  -sha256 -days 365 -out company.crt

-aes256 引数を使用してキーの生成時にキーの暗号化を実行した場合、CA 証明書の作成時に会社のキーパスワードの入力を求められます。 次に示すように、証明書ホルダー (つまり、自分または会社) に関する情報の入力も求められます:

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:

プロンプトに適切な値を入力します。

証明書署名リクエストを作成します。

HashiCorp Vault サーバー証明書を作成するには、新しく作成したサーバーキーに対して証明書署名リクエスト (CSR) を準備する必要があります。 次の行を含む request.conf という名前の構成ファイルを作成します。 HashiCorp Vault サーバーがローカルホストで実行されていない場合は、適切な CN 値と IP 値を置き換え、必要に応じて他の変更を行います。

[req]
distinguished_name = vault
x509_entensions = v3_req
prompt = no

[vault]
C = US
ST = CA
L = RWC
O = Company
CN = 127.0.0.1

[v3_req]
subjectAltName = @alternatives
authorityKeyIdentifier = keyid,issuer
basicConstraints = CA:TRUE

[alternatives]
IP = 127.0.0.1

署名要求を作成するには、次のコマンドを使用します:

openssl req -new -key vault.key -config request.conf -out request.csr

出力ファイル (request.csr) は、サーバー証明書を作成するための入力として機能する中間ファイルです。

HashiCorp Vault サーバー証明書を作成します。

HashiCorp Vault サーバーキー (vault.key) と CSR (request.csr) の結合情報に会社の証明書 (company.crt) を使用して署名し、HashiCorp Vault サーバー証明書 (vault.crt) を作成します。 これを行うには、次のコマンドを使用します (コマンドは単一行で入力します):

openssl x509 -req -in request.csr
  -CA company.crt -CAkey company.key -CAcreateserial
  -out vault.crt -days 365 -sha256

vault.crt サーバー証明書を役に立つようにするには、company.crt 会社の証明書の内容を追加します。 これは、会社の証明書がリクエストでサーバー証明書とともに配信されるようにするために必要です。

cat company.crt >> vault.crt

テキストエディタで vault.crt ファイルを開くと、その内容は次のようになります:

-----BEGIN CERTIFICATE-----
... content of HashiCorp Vault server certificate ...
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
... content of company certificate ...
-----END CERTIFICATE-----

HashiCorp Vault バイナリをフェッチします。

ご使用のプラットフォームに適した HashiCorp Vault バイナリを https://www.vaultproject.io/downloads.html からダウンロードします。

アーカイブの内容を抽出して、HashiCorp Vault 操作の実行に使用される実行可能な vault コマンドを生成します。 必要に応じて、コマンドをインストールするディレクトリをシステムパスに追加します。

(オプション) HashiCorp Vault では、使いやすくするオートコンプリートオプションがサポートされています。 詳細は、https://learn.hashicorp.com/vault/getting-started/install#command-completionを参照してください。

HashiCorp Vault サーバー構成ファイルを作成します。

次の内容を含む config.hcl という名前の構成ファイルを準備します。 tls_cert_file、tls_key_file および path の値は、使用しているシステムに適したパス名に置き換えてください。

listener "tcp" {
  address="127.0.0.1:8200"
  tls_cert_file="/home/username/certificates/vault.crt"
  tls_key_file="/home/username/certificates/vault.key"
}

storage "file" {
  path = "/home/username/vaultstorage/storage"
}

ui = true

HashiCorp Vault サーバーを起動します。

Vault サーバーを起動するには、次のコマンドを使用します。ここで、-config オプションは作成したばかりの構成ファイルへのパスを指定します:

vault server -config=config.hcl

このステップでは、vault.key ファイルに格納されている Vault サーバーの秘密キーのパスワードの入力を求められる場合があります。

サーバーが起動し、コンソールにいくつかの情報 (IP、ポートなど) が表示されます。

残りのコマンドを入力できるように、vault server コマンドをバックグラウンドに置くか、続行する前に別の端末を開きます。

HashiCorp Vault サーバーを初期化します。

次のコマンドを発行します (Bourne シェル構文を想定):

export VAULT_SKIP_VERIFY=1
vault operator init -n 1 -t 1

最初のコマンドを使用すると、vault コマンドは、システムトラストストアに会社の証明書が追加されていないことを一時的に無視できます。 自己署名 CA がそのストアに追加されていないという事実を補う。 (本番で使用するには、このような証明書を追加する必要があります。)

2 番目のコマンドは、シール解除のために 1 つのシール解除キーが存在する必要がある単一のシール解除キーを作成します。 (本番で使用する場合、インスタンスには複数のアンシールキーがあり、アンシールするために入力する必要があるキーはその数までです。 開封キーは、会社内の主要な顧客に配信する必要があります。 単一のキーを使用すると、ボールトを単一のキーカスタムによってシール解除できるため、セキュリティ上の問題とみなされる場合があります。)

Vault は、シール解除キーとルートトークンに関する情報に加えて、追加のテキストを返信する必要があります (実際のシール解除キーとルートトークンの値はここに示す値とは異なります):

...
Unseal Key 1: I2xwcFQc892O0Nt2pBiRNlnkHzTUrWS+JybL39BjcOE=
Initial Root Token: s.vTvXeo3tPEYehfcd9WH7oUKz
...

シール解除キーとルートトークンをセキュアな場所に格納します。

HashiCorp Vault サーバーをシール解除します。

Vault サーバをシール解除するには、次のコマンドを使用します:

vault operator unseal

開封キーの入力を求めるプロンプトが表示されたら、Vault の初期化時に以前に取得したキーを使用します。

Vault は、セットアップが完了し、ボールトがシールなしであることを示す出力を生成します。

HashiCorp Vault サーバーにログインし、そのステータスを確認します。

root としてログインするために必要な環境変数を準備します:

vault login s.vTvXeo3tPEYehfcd9WH7oUKz

このコマンドのトークン値は、Vault の初期化中に以前に取得した root トークンの内容に置き換えてください。

Vault サーバのステータスを確認します:

vault status

出力には次の行が含まれる必要があります (特に):

...
Initialized     true
Sealed          false
...

HashiCorp Vault の認証および記憶域を設定します。

AppRole 認証方式を有効にして、認証方式リストに含まれていることを確認します:

vault auth enable approle
vault auth list

Vault KeyValue ストレージエンジンを有効にします:

vault secrets enable -version=1 kv

keyring_hashicorp プラグインで使用するロールを作成および設定します (コマンドを単一行で入力します):

vault write auth/approle/role/mysql token_num_uses=0
  token_ttl=20m token_max_ttl=30m secret_id_num_uses=0

AppRole セキュリティポリシーを追加します。

以前に作成したロールに適切なシークレットへのアクセスを許可するポリシーを準備します。 次の内容で mysql.hcl という名前の新しいファイルを作成します:

path "kv/mysql/*" {
  capabilities = ["create", "read", "update", "delete", "list"]
}

ポリシーファイルを Vault サーバーにインポートして mysql-policy という名前のポリシーを作成し、そのポリシーを新しいロールに割り当てます:

vault policy write mysql-policy mysql.hcl
vault write auth/approle/role/mysql policies=mysql-policy

新しく作成したロールの ID を取得し、セキュアな場所に格納します:

vault read auth/approle/role/mysql/role-id

ロールのシークレット ID を生成し、セキュアな場所に格納します:

vault write -f auth/approle/role/mysql/secret-id

これらの AppRole ロール ID およびシークレット ID の資格証明が生成された後、それらは無期限に有効なままである必要があります。 これらを再度生成する必要はなく、継続的に使用するように keyring_hashicorp プラグインを構成できます。 AuthRole 認証の詳細は、https://www.vaultproject.io/docs/auth/approle.html を参照してください。

SET ステートメントを使用して、前述のテーブルに示す構成システム変数に必要な新しい値を割り当てます。 これらの割り当て自体は、進行中のプラグイン操作には影響しません。

keyring_hashicorp_update_config() を起動してプラグインを再構成し、新しい変数値を使用して HashiCorp Vault サーバーに再接続します。

接続が成功すると、プラグインは、名前に_commit_が含まれる対応するシステム変数に更新された構成値を格納します。