chef-infra - 无需存储私钥的 Chef 客户端配置

Question

有没有什么方法可以在没有将私钥物理存储在 Chef 客户端上的情况下向 Chef 服务器注册 Chef 客户端？

可以Hashicorp vault在这里解决存储密钥文件在磁盘上的问题吗？

如果是，配置必须遵循哪些步骤？

标签： chef-infrahashicorp-vault

Answer 1

根据您使用的主厨版本，主厨验证器密钥，以便在主厨服务器上注册节点。

在节点注册过程中，每次节点尝试访问厨师服务器（同步食谱和发布节点状态）时，都会生成节点的私钥并用于验证节点。

这意味着您可以在节点引导结束时删除验证器密钥，这是最佳实践。您可以通过利用chef-client cookbook来做到这一点

如果攻击者获得了 chef-validator 密钥，攻击者可以欺骗 Chef 服务器并拉取所有的食谱。