HashiCorp Vault est un gestionnaire de secrets automatisé fondé en 2012, utilisant un modèle freemium pour offrir une infrastructure sécurisée via une API modulaire. Il permet la gestion des secrets et des certificats TLS via une architecture composée de plusieurs nœuds, assurant la disponibilité et l'accès contrôlé. Le processus d'authentification et d'autorisation utilise des clés et certificats pour garantir la sécurité des opérations effectuées sur la grappe Vault.

1. Développe
L’entreprise derrière hashicorp Vault (gestionnaire de secrets automatisé)
Hashicorp
Développe
D
é
v
e
l
o
p
p
e
Fondée en 2012
Modèle Freemium
Développe
...

2. Vault c’est quoi ?
Des secrets disponibles pour une infrastructure
Automatisable via une API
Modulaire pour s’adapter aux besoins de l’infrastructure
Exemple : Une PKI TLS pour gérer les certificats TLS internes
Exemple : Un service classique de stockage de secrets
Opensource

3. Architecture Vault
Nœud 1
Noeud 2
Noeud 3
Noeud 4
Noeud 5
Transit 1
Transit 2
Dehors (manuel) Dedans (automatisé)
Ouverture avec
Le partage secret
De Shamir (SSS)
Demande d’auto-déscellage
(auto-unseal)
Interaction directe
par l’API
Processus clients
Agent 1 Fait le contrôle d’accès
À la grappe et standardise
Le secret résultant
Distribue le secret
standardisé
Une grappe Vault
Fonctionne en mono-master
(donc un LB est nécessaire
pour y accéder
en cas de panne d’un noeud)

4. Flux authentification/autorisation Vault
Noeud Vault
Agent vault
Ou interaction
directe
sur l’API
Envoi du certificat TLS
Le certificat est valide
Envoi du certificat TLS
Le certificat est valide
Envoi du role_id et du secret_id
En authentification approle
Les identifiants sont valides
Envoi du token de session
Interagit avec la grappe selon
les permissions du token

5. Clé racine Certificat racine
Clé intermédiaire Certificat intermédiaire
Chaîne CA du listener du vault node
Pki engine
Nouvelle chaîne CA du listener du vault node
Client cert
Hors ligne (manuel)
En ligne (auto)
Signe le CSR
Active le PKI engine
Crée le CSR
Signe les CSR de l’infra
Reconnaissance par le listener du vault node
?
?
?