運用 Vault 與 Terraform 實踐雲端秘密管理

– 7 分鐘閱讀

在當代分散式系統與微服務架構下，應用程式與服務間的互動日益頻繁，導致 API 金鑰、資料庫憑證等「秘密」數量劇增。傳統將敏感資訊硬編碼或存放於版本控制系統的作法，已成嚴重的安全漏洞。為此，集中式的秘密管理方案應運而生，而 HashiCorp Vault 即是業界領先的解決方案。它提供統一平台來安全儲存、控制與審計所有秘密的存取，更能動態生成有時效性的憑證，降低洩漏風險。本文將探討 Vault 的核心機制，並展示其如何與 Terraform 協同運作，將安全的秘密管理實踐融入基礎設施即代碼（IaC）的自動化流程，確保從開發到部署的端到端安全性。

雲端基礎設施安全與秘密管理：HashiCorp Vault 的部署與應用

深入解析秘密管理在現代應用開發與 DevOps 中的關鍵作用，學習如何安裝和配置 HashiCorp Vault，理解其架構與核心概念。重點探討如何將敏感數據（如 API 密鑰、密碼、證書）安全地寫入和讀取 Vault，並利用其 UI 介面進行管理。同時，講解如何將 Vault 整合到 Terraform 中，實現基礎設施即代碼 (IaC) 的安全部署

本節將聚焦於雲端基礎設施安全的核心議題——秘密管理，並深入探討 HashiCorp Vault 的應用。我們將理解為什麼在現代應用開發和 DevOps 流程中，安全地管理敏感信息（如 API 密鑰、數據庫密碼、TLS 證書）至關重要。隨後，我們將詳細講解 HashiCorp Vault 的安裝、配置與基本架構，包括其作為一個高度可用、可擴展的秘密管理解決方案的優勢。我們將學習如何與 Vault 進行互動，包括使用其命令行工具和 Web UI 來存儲、讀取和管理各種機密數據。最後，我們將重點講解如何將 Vault 與 Terraform 整合，實現基礎設施即代碼 (IaC) 的安全部署，確保敏感信息在基礎設施的創建和管理過程中得到妥善保護。

秘密管理的重要性與 HashiCorp Vault 概覽

在現代軟體架構中，應用程式通常需要訪問各種外部服務，這些服務的訪問權限由 API 密鑰、密碼等敏感信息來保護。

  1. 秘密管理的挑戰:

    • 硬編碼風險: 將敏感信息直接寫入程式碼或配置文件，一旦代碼洩露，所有秘密將暴露。
    • 版本控制風險: 即使將秘密存儲在配置文件中，如果這些文件被提交到版本控制系統（如 Git），也會帶來極大的安全隱患。
    • 訪問控制複雜性: 隨著應用程式和服務數量的增加，管理和輪換大量秘密變得非常困難。
    • 合規性要求: 許多行業和法規對敏感數據的保護有嚴格的要求。

  2. HashiCorp Vault:

    • 開源與領先地位: Vault 是 HashiCorp 公司開發的一款開源工具，是業界領先的秘密管理解決方案。
    • 核心功能:
      • 統一的秘密管理: 提供一個統一的接口來存儲和訪問各種類型的秘密。
      • 動態秘密生成: 可以根據需求動態生成臨時性的、有時效性的秘密（如數據庫憑證、AWS 訪問密鑰）。
      • 加密存儲: 所有存儲在 Vault 中的秘密都會被加密。
      • 精細的訪問控制: 通過策略 (Policies) 和認證方法 (Auth Methods) 來控制誰可以訪問哪些秘密。
      • 審計日誌: 記錄所有對 Vault 的訪問和操作，便於追蹤和審計。
      • 多數據中心複製: 支持在多個數據中心之間複製 Vault 數據，提高可用性和容錯性。

  3. Vault 架構與核心概念:

    • Vault Server: 運行 Vault 核心服務的進程。
    • Storage Backend: Vault 將數據（包括秘密和配置）存儲在一個後端存儲中，可以是文件系統、Consul、DynamoDB、PostgreSQL 等。
    • Seal/Unseal: Vault 在啟動時處於「Seal」狀態，數據是加密的。需要通過「Unseal」操作（提供解密密鑰）來解鎖 Vault，使其進入「Operate」狀態。
    • 認證方法 (Auth Methods): 用於驗證用戶或應用程式身份的方法，如 Token, AppRole, Kubernetes, Cloud IAM 等。
    • 策略 (Policies): 定義了認證實體（用戶、應用程式）對哪些路徑下的秘密擁有何種權限（讀、寫、列出等）。
    • Secrets Engines: 負責處理秘密的生成、存儲和訪問的組件，例如 Key/Value Secrets Engine, Database Secrets Engine, PKI Secrets Engine。

本地安裝與部署 Vault

在本地環境中安裝和運行 Vault，是學習和測試其功能的理想方式。

  1. 本地安裝 Vault:

    • 下載: 從 Vault 官方網站下載對應操作系統的二進制文件。
    • 解壓: 將下載的 zip 文件解壓到您的 PATH 環境變量中的一個目錄，以便直接運行 vault 命令。
    • 驗證安裝:
      vault version

  2. 啟動 Vault Server (開發模式):

    • Vault 提供了簡單的開發模式，適合本地測試，它會自動初始化、解鎖並啟動一個單節點的 Vault 服務器，數據存儲在內存中。
    • 啟動命令:
      vault server -dev
    • 重要提示: 開發模式下的 Vault 數據是非持久化的，服務重啟後所有數據將丟失。它也使用預設的、不安全的策略，僅適用於本地開發和測試。
    • 啟動後，您會看到 Vault 輸出的 Token 和 API 地址（默認是 http://127.0.0.1:8200）。

  3. 設置 Vault CLI 環境變量:

    • 為了方便與 Vault 交互，需要設置 VAULT_ADDR 和 VAULT_TOKEN 環境變量。
    • 設置 Token: 從 vault server -dev 的輸出中複製 Root Token。
      export VAULT_ADDR='http://127.0.0.1:8200'
export VAULT_TOKEN='your-root-token-from-dev-server-output'

與 Vault 交互：讀寫秘密

一旦 Vault Server 啟動並配置好環境變量，就可以開始存儲和讀取秘密了。

  1. 使用 Key/Value Secrets Engine (v2):

    • Vault 默認啟用了 v2 版本的 Key/Value Secrets Engine，掛載在 secret/ 路徑下。
    • 寫入秘密:
      # 創建一個秘密，路徑為 secret/myapp/config
vault kv put secret/myapp/config db_password=mysecretpassword db_user=admin
      這將在 secret/myapp/config 路徑下創建或更新兩個鍵值對。
    • 讀取秘密:
      # 讀取 secret/myapp/config 下的所有秘密
vault kv get secret/myapp/config

# 只讀取 db_password
vault kv get -field=db_password secret/myapp/config
      vault kv get 命令會返回秘密的詳細信息，包括版本和數據。-field 選項可以提取特定字段的值。
    • 列出秘密:
      # 列出 secret/myapp/ 下的所有路徑
vault kv list secret/myapp/

  2. 使用 Vault UI 介面:

    • Vault 提供了一個 Web UI，方便進行可視化管理。
    • 訪問 UI: 在瀏覽器中訪問 Vault Server 的地址（例如 http://127.0.0.1:8200/ui/）。
    • 登錄: 使用您設置的 VAULT_TOKEN 登錄。
    • 操作: 在 UI 中，您可以瀏覽秘密引擎、創建和編輯秘密、管理策略、查看審計日誌等。

將 Vault 整合到 Terraform

在基礎設施即代碼 (IaC) 的場景中，將 Vault 與 Terraform 整合是保護敏感配置信息的關鍵。

  1. Terraform Vault Provider:

    • Terraform 提供了官方的 Vault Provider，允許您在 Terraform 配置中讀取和寫入 Vault 中的秘密。
    • 配置 Provider: 在 Terraform 的 providers.tf 文件中配置 Vault Provider。
      provider "vault" {
  address = "http://127.0.0.1:8200" # 或從 VAULT_ADDR 環境變量讀取
  # token = "your-vault-token"     # 或從 VAULT_TOKEN 環境變量讀取
  # 或者使用其他認證方法，如 AppRole
}

# 如果需要寫入秘密到 Vault
provider "vault" {
  alias = "writer"
  address = "http://127.0.0.1:8200"
  # ... 寫入 Vault 的認證配置
}

  2. 讀取 Vault 秘密:

    • 使用 vault_generic_secret 數據源讀取現有的秘密。
      data "vault_generic_secret" "app_config" {
  path = "secret/myapp/config"
}

resource "aws_instance" "example" {
  # ... 其他配置
  ami           = "ami-0abcdef1234567890"
  instance_type = "t2.micro"

  # 使用從 Vault 讀取的數據
  user_data = <<-EOF
    #!/bin/bash
    echo "DB_PASSWORD=${data.vault_generic_secret.app_config.data.db_password}" > /etc/myapp/config.env
    echo "DB_USER=${data.vault_generic_secret.app_config.data.db_user}" >> /etc/myapp/config.env
  EOF
}
    • data.vault_generic_secret.app_config.data.db_password 即可獲取秘密中的 db_password 值。

  3. 寫入 Vault 秘密 (使用 Vault Provider):

    • 可以使用 vault_kv_secret 資源來創建或更新 Vault 中的秘密。
      resource "vault_kv_secret" "app_config" {
  provider = vault.writer # 使用專門配置的 writer provider
  path     = "secret/myapp/config"
  data_json = jsonencode({
    db_password = "supersecurepasswordfromterraform"
    db_user     = "tf_admin"
  })
}
    • 這允許 Terraform 在創建基礎設施資源的同時，將必要的配置秘密寫入 Vault。

Vault 與 Terraform 整合流程圖示

@startuml
!define DISABLE_LINK
!define PLANTUML_FORMAT svg
!theme _none_

skinparam dpi auto
skinparam shadowing false
skinparam linetype ortho
skinparam roundcorner 5
skinparam defaultFontName "Microsoft JhengHei UI"
skinparam defaultFontSize 16
skinparam minClassWidth 100

start

partition "Vault 與 Terraform 整合流程" {
  partition "準備階段" {
    :1. 安裝 HashiCorp Vault (本地開發模式);
    :2. 啟動 Vault Server (`vault server -dev`);
    :3. 設置 Vault CLI 環境變量 (`VAULT_ADDR`, `VAULT_TOKEN`);
    :4. 安裝 Terraform;
    :5. 在 Terraform 配置中定義 Vault Provider;
  }

  partition "讀取 Vault 秘密 (Terraform Data Source)" {
    :6. 使用 `vault_generic_secret` 數據源;
    :7. 指定要讀取的秘密路徑 (e.g., `secret/myapp/config`);
    :8. Terraform 在 `terraform plan` 或 `terraform apply` 時讀取秘密;
    :9. 將秘密值注入到 Terraform 資源配置中 (e.g., EC2 User Data, Database Credentials);
  }

  partition "寫入 Vault 秘密 (Terraform Resource)" {
    :10. 使用 `vault_kv_secret` 資源;
    :11. 指定要創建/更新的秘密路徑和數據;
    :12. Terraform 在 `terraform apply` 時將秘密寫入 Vault;
    :13. (可選) 實現動態秘密生成 (e.g., Database Secrets Engine);
  }

  partition "執行與驗證" {
    :14. 執行 `terraform apply`;
    :15. Terraform 讀取/寫入 Vault 秘密;
    :16. Terraform 部署基礎設施資源，並使用從 Vault 獲取的配置;
    :17. 驗證應用程式是否能正確使用從 Vault 獲取的秘密;
  }
}

stop

@enduml

看圖說話：

此圖示清晰地展示了 HashiCorp Vault 與 Terraform 整合的完整流程，旨在實現安全的基礎設施即代碼 (IaC) 部署。開頭的「準備階段」涵蓋了安裝 Vault 和 Terraform，以及配置 Vault CLI 和 Terraform Provider 的基礎步驟。圖示的核心部分「讀取 Vault 秘密」和「寫入 Vault 秘密」詳細說明了 Terraform 如何利用 vault_generic_secret 數據源來讀取現有秘密，以及如何使用 vault_kv_secret 資源來創建或更新秘密。這兩個環節都強調了將 Vault 中的敏感信息安全地注入到 Terraform 資源配置中，或在 Terraform 執行時寫入 Vault。最後的「執行與驗證」階段，總結了 terraform apply 的過程，包括 Terraform 與 Vault 的交互以及最終基礎設施的部署和驗證。這張圖有效地呈現了如何通過這種整合來提升基礎設施部署的安全性。

檢視此安全框架在現代 DevOps 環境下的實踐效果，將 HashiCorp Vault 整合至基礎設施即代碼（IaC）流程，不僅是技術工具的疊加，更是實現安全治理左移（Shift-Left）的典範轉移。此舉將過去分散、高風險且依賴人工的秘密管理模式，轉化為集中、可審計且高度自動化的標準作業程序。這種模式在顯著提升開發速度與強化合規性的同時，也凸顯了組織慣性此一關鍵挑戰：若缺乏由上而下的策略支持與流程改造，團隊可能因追求短期便利而繞過此安全框架，使技術投資的價值大打折扣。

展望未來，安全、開發與維運（DevSecOps）的深度融合已是不可逆的趨勢，而 Vault 這類工具正是扮演著串連不同職能、鞏固數位信任的關鍵樞紐。隨著動態秘密與身份驗證的治理生態系更趨完善，企業應對信任邊界模糊所帶來的風險能力也將大幅提升。

綜合評估後，玄貓認為，此整合方案已展現卓越的策略價值。對於致力於數位轉型的高階管理者而言，推動此類框架的落地不僅是技術部門的任務，更是建構組織長期數位信任與風險控管能力的策略性投資，應優先納入基礎設施的核心發展藍圖。

玄貓 BlackCat

玄貓 BlackCat

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。