hashicorp-vault - 如何防止在 HashiCorp Vault 中创建太多秘密

Question

我正在寻找一个更好的秘密轮换解决方案，发现 Vault 动态秘密是一个很好的解决方案。通过启用秘密引擎，比如数据库，应用程序/服务可以租用动态秘密。

我注意到每次应用程序租用数据库机密时，Vault 都会在数据库中创建一个新用户/帐户。我了解，每个应用程序/服务都需要成为一个好公民，并根据租用时间使用秘密。但是，在微服务环境中，实现错误可能会导致服务请求过多的动态机密，从而触发在数据库中创建过多的帐户。

有什么办法可以防止创建太多帐户？我只是担心太多帐户可能会导致数据库出现问题。

标签： hashicorp-vault

Answer 1

您可以使用静态角色创建一个具有固定用户名的角色，然后保管库会在需要轮换密码时轮换该密码。

这里有一些文档可以帮助您入门

https://www.vaultproject.io/api/secret/databases#create-static-role https://www.vaultproject.io/docs/secrets/databases#static-roles

另外，来自网站的警告：

目前并非所有数据库类型都支持静态角色。请查阅左侧导航中的特定数据库文档或数据库功能下的下表，以查看给定的数据库后端是否支持静态角色。`