hashicorp-vault - Hashicorp Vault - 您应该将客户提供的机密存储在 kv 中吗？

Question

我需要存储用户提供给我的非常敏感的秘密（用户名 + 密码 + 用于验证到 3rd 方 API 的证书）。

我首先考虑的是 AWS Secrets Manager，它非常昂贵，恕我直言，主要用于基础设施机密（数据库密码、API 密钥等），而不是客户提供的机密。现在我正在决定使用 AWS KMS（并使用信封加密将加密的机密存储在数据库 (AWS RDS) 中）和 Hashicorp Vault。

• https://www.vaultproject.io/docs/secrets/transit
• https://www.vaultproject.io/docs/secrets/kv/kv-v2

根据我的阅读，我得出结论，Vault KV 主要用于基础设施机密，而 Vault Transit 可能在某种程度上等同于 AWS KMS（例如，更适合客户提供的机密）。

由于我正在构建一个非常小的应用程序，如果我决定使用 Vault KV，我根本不需要数据库。但我不确定 Vault KV 是否合适。

我应该注意 Vault KV 是否存在一些限制或可能的问题（对于这个用例）？

谢谢

标签： hashicorp-vault

Answer 1

很好奇您为什么要避免使用 AWS SSM。如果您有大量数据要加密和存储但只是好奇，可能会有点限制。

似乎如果您想避免 Secrets Manager 的成本，那么加密的 RDS 数据库并不会为您带来太多好处。

AWS Secrets Manager 似乎很合理，除非您的容量非常大。