Vaultに対してHTTPアクセスをしてみる

VaultにHTTPでアクセスしましょう

この記事では、Vaultのdevサーバを起動してアクセスしてみました。
ですが、devサーバはあくまでもテスト用なので、本番環境で使用することはできません。
今回は通常のサーバを起動し、外部からHTTPでアクセスしてみましょう。

Vaultセットアップ〜HTTPでアクセスできるまで

1.EC2インスタンスにVaultとConsulをインストール

今回は外部からアクセスするので、EC2を使用します。t1.microでかまわないので、Amazon Linuxで起動しましょう。
セキュリティグループは、sshと後で使用する8200番ポートをあけておきます。
次に、必要なソフトをEC2にダウンロードします。

ここからConsul(分散環境のサービス変更と設定ツール）を、
そして、ここからVaultをダウンロードします。
※64bit Linux用

wgetでConsulとVaultをダウンロードするか、ローカルにダウンロードしてscpでアップロードしてもOKです。

% scp -i ＜sshキー＞ ＜アップロードするファイルパス＞ ec2-user@＜サーバのアドレス＞:~

sshでEC2にログインしましょう。

% ssh -i ＜sshキー＞ ec2-user@＜サーバのアドレス＞

EC2にログインしたら、ConsulとVaultのzipを解凍し、パスのとおった場所に移動させます。
vaultコマンドとconsulコマンドが実行できれば準備OKです。

2.サーバの起動

今回はConsulをbackendにするため、consul agentを起動しておきます。

% consul agent -server -bootstrap-expect 1 -data-dir /tmp/consul

3.設定ファイルを作成

次は、Vaultの設定ファイルを「seerver.hcl」という名前で作成します。下記のように記述してください。

backend "consul" {
  advertise_addr = "http://＜サーバのIP＞:8200" 
}

listener "tcp" {
  address = "0.0.0.0:8200" 
  tls_disable = 1 
}

advertise_addrには、他のVaultからアクセスする際の自分のアドレスを記述し、
listenerのaddressにはVaultの待ち受けアドレスとポートを指定します。 また、tls_disableに値を設定した場合、HTTP接続になります。

4.Vaultサーバ起動

では、Vaultサーバを起動しましょう。vault serverコマンドで、さきほどの設定ファイルを指定します。

% vault server -config ./server.hcl
==> Vault server configuration:

         Log Level: info
             Mlock: supported: true, enabled: true
           Backend: consul (HA available)
 Advertise Address: http://<ip>:8200
        Listener 1: tcp (addr: "0.0.0.0:8200", tls: "disabled")

なお、vault serverコマンドを実行した際、下記のようなエラーが表示されるかもしれません。

Error initializing core: failed to lock memory: cannot allocate memory
・
・

その際には、次のコマンドを実行し、mlockシステムコールを許可してあげる必要があるようです。

% sudo setcap cap_ipc_lock=+ep $(readlink -f $(which vault))

5.Vaultの初期化

サーバが起動したら、コンソールでアクセスしてみます。
VAULT_ADDRを下記のように設定しましょう。

% export VAULT_ADDR='http://127.0.0.1:8200'

そして、vault initコマンドで初期化を行います。

% vault init
Key 1: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Key 2: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Key 3: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Key 4: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Key 5: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Initial Root Token: zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz

これを実行すると、5つのKeyとInitial Root Tokenが表示されます。
これは非常に重要なので、なくさないようにしてください。（アクセスできなくなります）

6.unsealeする

では、httpでアクセスしてみましょう。
http://<サーバのip>:8200/v1/secret/foo
とブラウザで入力すると、下記のように表示されます。

{"errors":["Vault is sealed"]}

アクセスに失敗してしまいました。
Vaultサーバは初期状態ではseale状態になっているので、unseale作業をしてあげなければいけません。
vault unsealコマンドを実行し、さきほどのkeyを入力します。この作業を３回行うことで、Vaultにアクセス可能になります。
(この回数はvault init時の-key-thresholdオプションにて変更可能）

% vault unseal
・
・

7.トークン発行

さて、再度httpアクセスしてみます。すると今度は次のようなメッセージが表示されました。

{"errors":["missing client token"]}

どうやらトークンがないといわれているようなので、トークンを発行してあげましょう。
まずはトークン発行時に指定できる、ポリシーファイルを「acl.hcl」という名前で作成します。

path "secret/*" {
  policy = "write"
}

path "secret/foo" {
  policy = "read"
}

これは、「secret以下は保存可能かつsecret/fooは取得のみ」というポリシーになります。
ポリシーファイルをつくったら、vault authでルート化し、テストデータの登録とポリシーの適用を行いましょう。

% vault auth ＜Root Token＞ //root化
% vault write secret/foo value=hello //とりあえずテスト値登録
% vault policy-write secret acl.hcl　//ポリシー適用
Policy 'secret' written.

では、トークンを発行をしてみましょう。vault token-createでトークンを発行しています。
ここでは、さきほどのポリシーの適用と共に、いくつかオプションを指定しています。

% vault token-create -lease="1h" -use-limit=1 -policy="secret"
Key             Value
token           ＜発行されたトークン＞
token_duration  3600
token_renewable true
token_policies  [secret]

leaseは有効期限で、このトークンは１時間だけ有効になります。
また、use-limitはトークンを使用できる回数で、１回限り有効になっています。

8.HTTPアクセスしてみる

では、先ほど発行されたトークンをつかってhttpアクセスしてみます。
DHCとかのツールを使い、ヘッダーに
X-Vault-Token: ＜発行されたトークン＞ を指定して、
http://＜サーバのip＞:8200/v1/secret/foo
にアクセスしてみてください。
１回目は下記のような感じでデータが返ってくるはずです。

{
"lease_id": "secret/foo/xxxxxxxxxxxxxxxxx",
"renewable": false,
"lease_duration": 2592000,
"data":{
"value": "hello"
},
"auth": null
}

しかし、もう一度リクエストをおくってみると、403エラーになります。
このように、トークンに有効期限や回数を指定できるので、用途に応じて安全にトークンを発行できます。

まとめ

今回はVaultサーバでのポリシー設定やトークン発行を行い、httpアクセスを試してみました。
これ以外にもAWSのIAMを発行したりとかいろいろできるので、試してみたいと思います。

参考サイトなど

• Vaultのインストール
• HashiCorp社が出したVaultとはどういうものなのか
• Vault参考日本語訳 Part 3: はじめましょう