Implementando Zero Trust com HashiCorp Boundary

Visão Geral

HashiCorp Boundary é um proxy ciente de identidade que fornece acesso seguro e zero trust a recursos de infraestrutura sem VPNs tradicionais ou acesso direto à rede. O Boundary opera em um modelo de negação por padrão -- os usuários começam sem acesso e devem ter permissões explicitamente concedidas para recursos específicos. Quando integrado com HashiCorp Vault, o Boundary pode intermediar credenciais dinamicamente, garantindo que os usuários nunca vejam ou gerenciem segredos subjacentes. Isso elimina a proliferação de credenciais e permite acesso just-in-time com revogação automática de credenciais quando as sessões terminam. O Boundary suporta gravação de sessão para conformidade de auditoria, autenticação OIDC/LDAP e gerencia o acesso através de um modelo hierárquico de escopo de organizações e projetos.

Quando Usar

• Ao implantar ou configurar capacidades de implementação de zero trust com hashicorp boundary em seu ambiente
• Ao estabelecer controles de segurança alinhados a requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Servidor HashiCorp Boundary (auto-hospedado ou HCP Boundary)
• HashiCorp Vault (para intermediação de credenciais)
• Provedor de identidade que suporta OIDC (Okta, Azure AD, Auth0)
• Banco de dados PostgreSQL para o backend do Boundary
• Certificados TLS para comunicação segura
• Compreensão de PKI e gerenciamento de certificados X.509

Arquitetura

                    Identity Provider (OIDC)
                           |
                    Authentication
                           |
                  +--------+--------+
                  |   Boundary      |
                  |   Controller    |
                  |  (Control Plane)|
                  +--------+--------+
                           |
              +------------+------------+
              |                         |
     +--------+--------+      +--------+--------+
     | Boundary Worker |      | Boundary Worker |
     | (Data Plane)    |      | (Data Plane)    |
     +--------+--------+      +--------+--------+
              |                         |
     +--------+--------+      +--------+--------+
     |  Target Hosts   |      |  Target Hosts   |
     |  (SSH, RDP,     |      |  (Databases,    |
     |   K8s, HTTP)    |      |   APIs)         |
     +-----------------+      +-----------------+

     Vault (Credential Brokering)
     - Dynamic database credentials
     - SSH certificate signing
     - Credential libraries

Instalação e Configuração

Configuração do Servidor Boundary

# Install Boundary
curl -fsSL https://apt.releases.hashicorp.com/gpg | sudo apt-key add -
sudo apt-add-repository "deb [arch=amd64] https://apt.releases.hashicorp.com $(lsb_release -cs) main"
sudo apt-get update && sudo apt-get install boundary

# Initialize the database
boundary database init \
  -config=/etc/boundary/controller.hcl

# Start the controller
boundary server -config=/etc/boundary/controller.hcl

Configuração do Controller

# /etc/boundary/controller.hcl
controller {
  name = "boundary-controller-1"
  description = "Primary Boundary Controller"
  database {
    url = "postgresql://boundary:password@localhost:5432/boundary?sslmode=require"
  }
  public_cluster_addr = "boundary.example.com"
}

listener "tcp" {
  address = "0.0.0.0:9200"
  purpose = "api"
  tls_cert_file = "/etc/boundary/tls/cert.pem"
  tls_key_file  = "/etc/boundary/tls/key.pem"
}

listener "tcp" {
  address = "0.0.0.0:9201"
  purpose = "cluster"
  tls_cert_file = "/etc/boundary/tls/cert.pem"
  tls_key_file  = "/etc/boundary/tls/key.pem"
}

kms "aead" {
  purpose = "root"
  aead_type = "aes-gcm"
  key = "sP1fnF5Xz85RrXM..."  # Use Vault Transit in production
  key_id = "global_root"
}

kms "aead" {
  purpose = "worker-auth"
  aead_type = "aes-gcm"
  key = "8fZBjCUfN0TzjEG..."
  key_id = "global_worker-auth"
}

kms "aead" {
  purpose = "recovery"
  aead_type = "aes-gcm"
  key = "8fZBjCUfN0TzjEG..."
  key_id = "global_recovery"
}

Configuração do Worker

# /etc/boundary/worker.hcl
worker {
  name = "boundary-worker-1"
  description = "Worker in production VPC"
  public_addr = "worker1.example.com"

  controllers = [
    "boundary.example.com:9201"
  ]

  tags {
    type = ["production"]
    region = ["us-east-1"]
  }
}

listener "tcp" {
  address = "0.0.0.0:9202"
  purpose = "proxy"
}

kms "aead" {
  purpose = "worker-auth"

…