security - Hashicorp vault 自动解封 KMS 安全性
问题描述
我还没有找到关于使用 Cloud KMS （自动）解封 Hashicorps Vault 的协议的全面文档。据我所知，Vault 使用存储的 API 凭据来查询 Cloud KMS，并且（有些不清楚的部分）可以访问在解封 Vault 的过程中使用的主密钥。
我即将部署一个 Vault 服务器，并且需要一种自动化的方法来在例如断电后自动解封 Vault。手动开封是不可行的。
我没有看到一个强有力的论据支持 Cloud KMS 自动解封而不是本地 bash 脚本，该脚本使用存储在具有 root 只读访问权限的文件中的主密钥（碎片）解封保管库。
忽略物理威胁，脚本和主密钥文件解决方案仍然需要 root 访问权限，其中 Cloud KMS 凭据、Vault 配置和 Vault 后端也可以使用相同或较低的权限访问，据我了解，攻击者还可以访问管理的机密。
在我的使用场景中，我还看到了在没有 Internet 访问的情况下解封保险库的能力。
我知道 KMS 自动启封的一般优势，但对于仍然需要自动启封的小型单服务器部署，您还有其他顾虑吗？KMS API 凭证是否是解封保管库所需的全部内容？！这应该如何安全？
解决方案
推荐阅读
- c# - 如何知道调用者类 C#
- json - 从 JSON Golang 读取 PGP 密钥时出现 EOF 错误
- javascript - 如何在不丢失javascript功能的情况下用新的html替换元素内容？
- angular - 如何在Angular中选择全部和取消选择复选框？
- haskell - 无法将预期类型 'Char -> [Char] -> t' 与实际类型 'Char' 匹配
- ios - VimeoUpload - 未使用 KVO 方法接收上传进度更新
- html - Firebase Web应用程序中每一行的删除按钮
- mysql - 用于按属性过滤的 MySQL 查询
- python - 如果列表中的值重复，则应该在 python 中删除值？
- rest - 来自 shell 的 REST 的 hbase 模糊/过滤器列表匹配