HashiCorp Vault UI Quick Startをやってみた

#Vault

佐藤雅樹

2023.04.21

「HashiCorp Vaultの雰囲気を掴みたい」

HashiCorp Vault入門として、UI Quick Startをやってみたレポートです。

HashiCorp Vaultとは

一言で言うと、機密情報を管理するためのソフトウェアです。

詳細は以下のブログを参照ください。

HashiCorp Valut チュートリアル

公式で用意されているVaultのGetting Startedは3種類あります。

今回はUI Quick Startをやってみます。 UI Quick StartはCLIよりステップが少なく、UIがついている分初めて触るにはとっつきやすいと思います。

しかし、Dynamic SecretsやGithub認証などには触れていません。上記の機能も試したい場合は、CLI Quick Startもやってみてください。

UI Quick Start

ローカルにVaultをインストールして、Vault Server起動後ポリシーや認証の設定を行うチュートリアルです。

Getting Started with Vault UI
Install Vault
Web UI
Create Vault Policies
Manage Authentication Methods
Manage Secrets Engines
API Explorer in Vault UI

やってみた

詳細な手順はチュートリアルを見てもらうとして、ざっくり紹介していきます。

UI Quick Start

Vaultサーバーの起動・ログイン

Vault Serverを起動します。

Vault UIは開発モード以外ではデフォルトで無効になっています。そのため、設定ファイル(config.hcl)ににui = trueの記述が必要です。

tee config.hcl <<EOF
ui = true
disable_mlock = true

storage "raft" {
  path    = "./vault/data"
  node_id = "node1"
}

listener "tcp" {
  address     = "0.0.0.0:8200"
  tls_disable = "true"
}

api_addr = "http://127.0.0.1:8200"
cluster_addr = "https://127.0.0.1:8201"
EOF

vault server -config=config.hcl

ブラウザで「http://127.0.0.1:8200」にアクセスすればVaultのUIを確認できます。

初期設定でUnseal Keyが生成され、VaultをUnsealします。 Unseal KeyはVaultのデータ保護に必要なKeyのため、実際の運用時は機密情報をとして保管する必要があります。

以下では、Unseal Keyを5つ作成して3つ使用すればVaultをUnsealできるように設定しました。

複数人でそれぞれUnseal Keyを1つずつ持てば、Unsealを1人で行えなくなるためセキュリティを強化できます。

設定後Unseal Keyをダウンロードできます。

ダウンロード後にUnseal Keyを使って、ValutをUnsealします。

以下の画面は、Unseal Keyを1つ入力した状態です。(1/3となっている) 3ついれるとUnsealできます。

その後に、Unseal Keyと一緒にダウンロードしたRootトークンを入力することでVaultサーバーにログインできます。

ポリシーの作成

ポリシーを使って、各ユーザーのアクセス制限を行うことができます。

以下はsecret/configとsys/mountsをREADできるポリシーを作成している部分です。

最終的には以下のポリシーを割り当てて、このあと作成するユーザーがtransit secretsを操作できるようにします。

# Enable Transit secrets engine
path "sys/mounts/transit" {
    capabilities = ["create", "update"]
}

# Manage Transit secrets engine keys
path "transit/keys" {
    capabilities = ["list"]
}
path "transit/keys/*" {
    capabilities = ["create", "list", "read", "update"]
}
path "transit/keys/+/config" {
    capabilities = ["create", "update"]
}

# Encrypt with any Transit secrets engine key
path "transit/encrypt/*" {
    capabilities = ["create", "update"]
}

# Decrypt with any Transit secrets engine key
path "transit/decrypt/*" {
    capabilities = ["create", "update"]
}