整合 Vault 與 Terraform 實現基礎設施安全配置

– 6 分鐘閱讀

在現代雲端與 DevOps 實踐中，基礎設施即代碼（IaC）已成標準，但隨之而來的是如何安全管理組態中的敏感資訊。將機敏資料直接寫入版本控制系統會帶來極高的安全風險。HashiCorp Vault 提供集中式秘密管理方案，徹底解決此問題。本文從實務層面切入，展示如何利用其直觀的 Web UI 進行日常管理，並探討其與主流 IaC 工具 Terraform 的無縫整合。此整合模式實現了秘密的動態獲取，將安全性內建於自動化部署流程，是建構穩固且合規雲端基礎設施的關鍵一環。

HashiCorp Vault：Web UI 介面操作與 Terraform 整合應用

本節將深入探討 HashiCorp Vault 的 Web 使用者介面 (UI)，展示如何透過圖形化方式管理秘密，並進一步闡述如何將 Vault 與 Terraform 整合，實現敏感數據的動態注入，從而提升基礎設施配置的安全性。

Vault Web UI 介面操作詳解

Vault 的 Web UI 提供了一個直觀且視覺化的方式來管理秘密，相較於命令行工具，它更易於非技術人員理解和操作。

訪問與登錄:

  1. 開啟瀏覽器: 使用先前啟動 Vault 開發模式伺服器時提供的 URL（通常為 http://127.0.0.1:8200/ui/）。
  2. 輸入認證令牌: 在登錄頁面，輸入在終端啟動伺服器時顯示的 Root 令牌。
  3. 登入: 點擊「Sign In」按鈕完成身份驗證。

介面導覽與功能:

登錄後，您將進入 Vault 的主介面。

  • Secrets Engines: 介面的左側導覽欄會列出所有已啟用的 Secrets Engines。Secrets Engine 是 Vault 用於儲存、加密、生成或提供訪問權限給敏感數據的組件。預設情況下，您會看到 secret/ 路徑，這是一個通用的 Key-Value 儲存引擎。
  • 瀏覽秘密: 點擊特定的 Secrets Engine（例如 secret/），您將看到該引擎下儲存的所有秘密路徑。點擊具體的秘密路徑（例如 vmadmin），Vault 會顯示該秘密的詳細資訊。
  • 查看秘密內容: 在秘密詳情頁面，您可以清晰地看到所有儲存的鍵值對。對於每個鍵，您可以選擇以明文形式查看其值，這對於快速驗證數據非常有用。
  • 版本歷史管理: Vault 的一個關鍵特性是其版本控制。您可以輕鬆地查看和切換到一個秘密的歷史版本，這對於追蹤變更、回滾操作或審計至關重要。介面通常會提供一個選項來顯示秘密的內容歷史。
  • 管理操作: 除了查看，Web UI 還支援執行所有主要的秘密管理操作，包括創建新秘密、編輯現有秘密、刪除秘密，以及管理其版本。

Vault Web UI 的存在，極大地降低了使用 Vault 的門檻，並為團隊協作和安全審計提供了便利。

將 Vault 秘密整合至 Terraform 配置

在 Terraform 中管理基礎設施時，保護敏感配置資訊（如 API 密鑰、資料庫密碼、SSH 金鑰等）是至關重要的。將這些敏感數據儲存在 Vault 中，並在 Terraform 代碼中動態讀取，是一種安全且推薦的做法。

Terraform Vault Provider 配置:

首先，需要在 Terraform 配置中聲明並配置 Vault provider。

  1. 聲明 Provider:

    provider "vault" {
  # Configuration options will go here
}

  2. 配置 Vault URL: 在 provider "vault" 塊中，需要指定 Vault 伺服器的地址。為了安全起見，通常不直接在 Terraform 代碼中硬編碼敏感資訊（如令牌），而是通過環境變數注入。

    provider "vault" {
  address = var.vault_addr # Or directly "http://127.0.0.1:8200" for dev mode
  # token = var.vault_token # Recommended to use environment variable VAULT_TOKEN
}
    • address: 指定 Vault 伺服器的 URL。
    • token: 指定用於 Vault 認證的令牌。最佳實踐是將此令牌設置為環境變數 VAULT_TOKEN，Terraform Vault provider 會自動讀取。

使用 data 塊讀取秘密:

Terraform 的 data 塊允許我們從外部來源（包括 Vault）讀取數據，而無需在 Terraform 代碼中硬編碼。

  1. 定義 vault_generic_secret 數據源: 
    data "vault_generic_secret" "vmadmin_account" {
  path = "secret/vmadmin"
}
    • data "vault_generic_secret" "vmadmin_account": 這定義了一個名為 vmadmin_account 的數據源，它將從 Vault 中獲取一個通用秘密。
    • path = "secret/vmadmin": 指定了要從 Vault 讀取的秘密的路徑。這必須與之前在 Vault 中創建的秘密路徑完全一致。

在 Terraform 資源中使用讀取的秘密:

一旦數據被 Terraform 加載為 data 塊，就可以在其他資源中使用這些值。例如，如果我們之前在 Vault 中儲存了 VM 的密碼，並且 Terraform 正在配置一個 VM 資源，我們可以這樣引用它：

resource "azurerm_virtual_machine" "example" {
  # ... other VM configurations ...

  # Example: Using a password retrieved from Vault
  admin_password = data.vault_generic_secret.vmadmin_account.data.vmpassword
}

在這個例子中：

  • data.vault_generic_secret.vmadmin_account: 引用了我們之前定義的數據源。
  • .data.vmpassword: 訪問該數據源中名為 vmpassword 的鍵的值。Vault 的 Key-Value v2 引擎將秘密的鍵值對儲存在一個名為 data 的頂級屬性下。

通過這種方式，Terraform 代碼本身不會包含任何敏感密碼，而是從 Vault 動態獲取，極大地增強了基礎設施配置的安全性。

視覺化 Vault Web UI 與 Terraform 整合

以下圖示描繪了 Vault Web UI 的操作流程，以及 Terraform 如何透過 Provider 和 Data Source 從 Vault 讀取秘密。

@startuml
!define DISABLE_LINK
!define PLANTUML_FORMAT svg
!theme _none_

skinparam dpi auto
skinparam shadowing false
skinparam linetype ortho
skinparam roundcorner 5
skinparam defaultFontName "Microsoft JhengHei UI"
skinparam defaultFontSize 16
skinparam minClassWidth 100

title HashiCorp Vault: Web UI & Terraform Integration

package "Vault Web UI Operations" {
  component "User's Browser" as BROWSER_UI
  artifact "Vault UI URL" as UI_URL
  artifact "Root Token Authentication" as ROOT_TOKEN_AUTH
  component "Vault Web Interface" as VAULT_WEB_IFACE
  artifact "Secrets Engines List" as SECRETS_ENGINES
  artifact "Secret Details View" as SECRET_DETAILS
  artifact "Version History Navigation" as VERSION_HISTORY
}

package "Terraform Configuration" {
  component "Terraform CLI" as TF_CLI
  artifact "Terraform Configuration Files (.tf)" as TF_FILES
  component "Vault Provider Block" as VAULT_PROVIDER
  artifact "Vault Address & Token (Env Var)" as VAULT_CONFIG_VARS
}

package "Data Retrieval Flow" {
  component "Terraform Engine" as TF_ENGINE
  artifact "Data Source: vault_generic_secret" as VAULT_DATA_SOURCE
  artifact "Secret Path: secret/vmadmin" as VAULT_SECRET_PATH
  artifact "Retrieved Secret Data" as RETRIEVED_DATA
}

package "Terraform Resource Usage" {
  component "Terraform Resource Block (e.g., azurerm_virtual_machine)" as TF_RESOURCE
  artifact "Resource Configuration Parameters" as RESOURCE_PARAMS
}

BROWSER_UI --> UI_URL : Access Vault UI
BROWSER_UI --> ROOT_TOKEN_AUTH : Authenticate
VAULT_WEB_IFACE --> SECRETS_ENGINES : Display Engines
SECRETS_ENGINES --> SECRET_DETAILS : Navigate to Secret
SECRET_DETAILS --> VERSION_HISTORY : Access Version Control

TF_CLI --> TF_FILES : Load Terraform Configuration
TF_FILES --> VAULT_PROVIDER : Define Vault Provider
VAULT_PROVIDER --> VAULT_CONFIG_VARS : Read Server Address & Token
VAULT_PROVIDER --> TF_ENGINE : Initialize Provider

TF_ENGINE --> VAULT_DATA_SOURCE : Request Secret Data
VAULT_DATA_SOURCE --> VAULT_SECRET_PATH : Specify Path
VAULT_DATA_SOURCE --> TF_ENGINE : Return Retrieved Secret Data (RETRIEVED_DATA)

TF_ENGINE --> TF_RESOURCE : Use Retrieved Data
TF_RESOURCE --> RESOURCE_PARAMS : Inject Secret Value (e.g., password)

note left of VAULT_WEB_IFACE
  Visual management of secrets,
  engines, and versions.
end note

note right of VAULT_DATA_SOURCE
  Reads secret data from Vault
  without hardcoding in .tf files.
end note

@enduml

看圖說話：

此圖示詳細說明了 HashiCorp Vault 的 Web UI 操作流程，以及 Terraform 如何與 Vault 整合以安全地獲取敏感數據。

  1. Vault Web UI Operations:

    • 用戶通過 User’s Browser 訪問 Vault UI URL。
    • 使用 Root Token Authentication 登錄 Vault。
    • Vault Web Interface 顯示 Secrets Engines List，用戶可以導航到特定的秘密路徑。
    • 在 Secret Details View 中，可以看到秘密的內容，並能使用 Version History Navigation 來查看和管理秘密的版本。

  2. Terraform Configuration:

    • Terraform CLI 加載 Terraform Configuration Files (.tf)。
    • Vault Provider Block 被配置，讀取 Vault Address & Token (Env Var)（推薦通過環境變數設置，例如 VAULT_ADDR 和 VAULT_TOKEN）。
    • Terraform Engine 初始化。

  3. Data Retrieval Flow:

    • Terraform Engine 使用 Data Source: vault_generic_secret 來請求數據。
    • 數據源指定了 Secret Path: secret/vmadmin。
    • Vault 伺服器響應請求，返回 Retrieved Secret Data 給 Terraform。

  4. Terraform Resource Usage:

    • Terraform Resource Block（例如 azurerm_virtual_machine）使用從 Vault 獲取的數據。
    • 在 Resource Configuration Parameters 中，將敏感值（如密碼）動態注入，例如 admin_password = data.vault_generic_secret.vmadmin_account.data.vmpassword。

這個流程展示了 Vault 如何作為一個中央化的秘密管理系統，與 Terraform 等基礎設施即代碼 (IaC) 工具無縫整合，實現敏感數據的安全注入和管理，從而顯著提升了 DevOps 工作流程的安全性。

縱觀現代基礎設施即代碼（IaC）的演進軌跡，敏感資訊的安全管理已從技術選配，轉變為決定系統韌性的核心基石。Vault 的 Web UI 介面降低了團隊成員的上手門檻，而與 Terraform 的深度整合，則將靜態、高風險的憑證硬編碼，升級為動態、可追溯的秘密注入流程。此模式雖在導入初期需投入學習成本與流程改造，但其所帶來的安全效益與維運效率，遠超過傳統以環境變數或加密文件管理的方案，從根本上解決了秘密洩漏的風險。

展望未來，隨著 DevSecOps 理念的普及，這種以 API 驅動的集中式秘密管理，將不再僅是大型企業的專利，而是所有追求敏捷與安全的技術組織，都必須具備的標準能力。

玄貓認為，對於致力於建立穩固數位基礎設施的高階管理者而言，推動 Vault 與 IaC 工具鏈的整合，不僅是技術升級，更是對組織安全文化與長期競爭力的策略性投資。

玄貓

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。