HashiCorp Vault
Vault Kubernetes-ში: auto-unseal, Raft, ACL პოლიტიკები, Vault Secrets Operator და რატომ ანგრევს დალუქული Vault ყველაფერს.
8 სტატია
- საბრძოლო სერტიფიკატს ვადა გაუვიდა და არავინ შეამჩნია: გარე პროქსიმ ავარია საკუთარი თავით დაფარაყველა საჯარო ჰოსტი 200-ს აბრუნებდა, კლასტერი კი ვადაგასულ wildcard-ს აძლევდა. საკუთარი TLS-ის მქონე პროქსიმ ავარია დამალა; ნამდვილი მიგნება ვადის ალერტის არარსებობა იყო.
- ვარსკვლავი Vault-ის გზის შუაში wildcard არ არისვადაგასულმა ტოკენმა საიდუმლოებების ოპერატორი გააჩერა. მისმა ხელახლა გაცემამ უფრო ძველი ბაგი გამოავლინა: Vault-ის 27 პოლიტიკა * სიმბოლოთი გზის შუაში ჩუმად კრძალავდა იმას, რასაც აცხადებდა.
- ალერტები, რომლებიც ვერ ამოქმედდებიან: ბრმა ServiceMonitor და მკვდარი მიწოდების არხიVault-ის პირი 32 საათი sealed იყო, საიდუმლოებები კი კვირაზე მეტი არ სინქრონიზდებოდა — რეპოზიტორიაში VaultSealed ალერტით და ჯანმრთელი Alertmanager-ით. ინციდენტი ორმა დამოუკიდებელმა შეფერხებამ დამალა.
- Vault-ის გადაყვანა Shamir-დან transit auto-unseal-ზე და ოთხი ხაფანგი გზაზეVault-ის პოდის ყოველი გადატვირთვა დალუქული საცავით და გაყინული საიდუმლოებების სინქრონიზაციით სრულდებოდა. როგორ დავამატეთ transit პროვაიდერი, გადავიყვანეთ სამნოდიანი raft კლასტერი და სად წავიბორძიკეთ.
- Vault თავისით ილუქებოდა. მიზეზი კლასტერის ქვემოთ VM-ის 15-წუთიანი გაყინვა იყოVault-ის ოთხი seal სამ კვირაში, თითოეული ცალკე ინციდენტად განიხილებოდა. journald-ის პაუზების ანალიზმა აჩვენა, რომ ჰიპერვიზორი ბექაპისას VM-ს ყინავს, Longhorn კი ამას კასკადად აქცევს.
- Vault Secrets Operator seal-ის შემდეგ გაჩუმდა — და გადატვირთვამ ვერ გააღვიძა43-დან 38 VaultStaticSecret ორი დღე გაყინული შეცდომით იდგა. Vault-ის unseal-მა და ოპერატორის გადატვირთვამ არაფერი მისცა; spec-ის ერთი ველის შეცვლამ უშველა.
- WordPress-ში შესვლის მარყუჟი, რომელიც მხოლოდ ზოგჯერ ხდებოდაwp-admin შესვლის გვერდზე reauth=1-ით აბრუნებდა, მაგრამ არა ყოველთვის. მიზეზი იყო ყოველ პოდში გენერირებული შემთხვევითი auth salt-ები sticky სესიების გარეშე ბალანსერის უკან.
- „Vault თავად ილუქება“ — არა, ის უბრალოდ არასოდეს იხსნებაVault-ის პოდი დღეობით იდგა Ready 0/1-ზე, raft-ის კვორუმი კი ჩუმად ორ პირზე ინარჩუნებდა თავს. მას არავინ ლუქავდა: Shamir auto-unseal-ის გარეშე ყოველ რესტარტს დალუქულს ტოვებს.