Implementando Gerenciamento de Segredos com Vault

Quando Usar

• Quando aplicações armazenam senhas de banco de dados, chaves de API ou certificados em variáveis de ambiente ou arquivos de configuração
• Ao migrar de credenciais estáticas de longa duração para segredos dinâmicos de curta duração
• Quando cargas de trabalho Kubernetes precisam de acesso seguro a credenciais de banco de dados ou APIs de provedores de nuvem
• Quando requisitos de conformidade exigem gerenciamento centralizado de credenciais com registro de auditoria
• Quando pipelines de CI/CD contêm segredos codificados que representam risco à cadeia de suprimentos

Não use para ambientes exclusivamente AWS onde o AWS Secrets Manager é suficiente sem requisitos multi-nuvem, para lógica de criptografia em nível de aplicação (embora o Vault Transit possa ajudar), ou para federação de identidade (veja gerenciando-identidade-nuvem-com-okta).

Pré-requisitos

• Servidor HashiCorp Vault implantado em modo HA (backend de armazenamento Consul ou Raft)
• Certificados TLS para endpoints de listener do Vault
• Licença Vault Enterprise para namespaces, políticas Sentinel e replicação (opcional)
• Cluster Kubernetes com Vault Agent Injector ou provedor CSI para integração de carga de trabalho

Fluxo de Trabalho

Etapa 1: Implantar Vault em Modo de Alta Disponibilidade

Implante o Vault usando Armazenamento Integrado (Raft) para HA sem dependências externas. Configure TLS, registro de auditoria e auto-desbloqueio usando um KMS na nuvem.

# vault-config.hcl
storage "raft" {
  path    = "/opt/vault/data"
  node_id = "vault-node-1"

  retry_join {
    leader_api_addr = "https://vault-node-2.internal:8200"
  }
  retry_join {
    leader_api_addr = "https://vault-node-3.internal:8200"
  }
}

listener "tcp" {
  address     = "0.0.0.0:8200"
  tls_cert_file = "/opt/vault/tls/vault.crt"
  tls_key_file  = "/opt/vault/tls/vault.key"
}

seal "awskms" {
  region     = "us-east-1"
  kms_key_id = "alias/vault-unseal-key"
}

api_addr      = "https://vault-node-1.internal:8200"
cluster_addr  = "https://vault-node-1.internal:8201"

telemetry {
  prometheus_retention_time = "30s"
  disable_hostname         = true
}

# Initialize Vault
vault operator init -key-shares=5 -key-threshold=3

# Enable audit logging
vault audit enable file file_path=/var/log/vault/audit.log

# Enable syslog audit for SIEM integration
vault audit enable syslog tag="vault" facility="AUTH"

Etapa 2: Configurar Métodos de Autenticação

Habilite backends de autenticação para operadores humanos, aplicações e pipelines de CI/CD. Use AppRole para autenticação de máquina e OIDC para acesso humano.

# Enable OIDC auth for human users via Okta
vault auth enable oidc
vault write auth/oidc/config \
  oidc_discovery_url="https://company.okta.com/oauth2/default" \
  oidc_client_id="vault-client-id" \
  oidc_client_secret="vault-client-secret" \
  default_role="default"

# Enable AppRole for application authentication
vault auth enable approle
vault write auth/approle/role/web-app \
  secret_id_ttl=10m \
  token_num_uses=10 \
  token_ttl=20m \
  token_max_ttl=30m \
  secret_id_num_uses=1 \
  token_policies="web-app-policy"

# Enable Kubernetes auth for pod-based access
vault auth enable kubernetes
vault write auth/kubernetes/config \
  kubernetes_host="https://kubernetes.default.svc:443" \
  token_reviewer_jwt=@/var/run/secrets/kubernetes.io/serviceaccount/token \
  kubernetes_ca_cert=@/var/run/secrets/kubernetes.io/serviceaccount/ca.crt

Etapa 3: Habilitar Motores de Segredos Dinâmicos

Configure motores de segredos de banco de dados para gerar credenciais de curta duração sob demanda. Cada conjunto de credenciais tem um TTL e é revogado automaticamente quando expira.

# Habilitar motor de segredos de banco de dados para PostgreSQL
vault secrets enable database
vault write database/config/production-db \
  plugin_name=postgresql-database-plugin \
  allowed_roles="readonly,readwrite" \
  connection_url="postgresql://{{username}}:{{password}}@db.internal:5432/production?sslmode=require" \
  username="vault_admin" \
  password="initial-password"

# Rotacionar as credenciais raiz para que o Vault as gerencie exclusivamente
vault write -force database/rotate-root/production-db

# Criar uma role de leitura com TTL de 1 hora
vault write database/roles/readonly \
  db_name=production-db \
  creation_statements="CREATE ROLE \"{{name}}\" WITH LOGIN PASSWORD '{{password}}' VALID UNTIL '{{expiration}}'; GRANT SELECT ON ALL TABLES IN SCHEMA public TO \"{{name}}\";" \
  revocation_statements="REVOKE ALL ON ALL TABLES IN SCHEMA public FROM \"{{name}}\"; DROP ROLE IF EXISTS \"{{name}}\";" \
  default_ttl="1h" \
  max_ttl="24h"


…