HashiCorp Vaultの基礎知識と導入

やって覚えるVault

Vaultとは

VaultはHashiCorpが2015年4月28日にリリースしたソフトウェアです。リリース時のブログは以下をご参照下さい。

Vault

Vaultは、機密情報を管理するためのソフトウェアです。現在の情報システムでは機密情報は多岐にわたり、ユーザー名やパスワードはもちろん、APIキーや証明書など、様々な種類のものが様々な形式で存在します。また保存される場所も違うし、場所が違うってことはアクセス制御のやり方や管理の仕方も違います。こういった機密情報を統合的に一貫して管理しアクセスコントロールするものがVaultです。クライアント/サーバ型で動作し、クライアントで機密情報の保管や取得のコマンドを実行し、機密情報自体はサーバに保管されます。

なお2018年2月5日時点での最新バージョンは0.9.3です。

Vaultの主な機能

Vaultの主な機能は次のとおりです。

Secure Secret Storage ... Vaultは機密情報をkey/valueの形で値を格納しますが、サーバのストレージに書き込む前に暗号化しています。このため、そのままストレージにアクセスしても機密情報を取得することは出来ません。
Dynamic Secrets ... Vaultは機密情報をオンデマンドで生成することが出来ます。例えばAWSへのアクセスキー等です。アプリケーションがAWSにアクセスする際にVaultにアクセス権を要求すると、Vaultは必要なアクセス権を持つAWSアクセスキーを生成し、アプリケーションに渡します。この動的に生成した機密情報には期間が設定され、期間が過ぎたら自動的に取り消しされます。
Data Encryption ... データの暗号化及び復号が出来ます。Vaultがこの処理の際にデータの保存を行いませんので、一時保存されたデータの流出を懸念する必要はありません。
Leasing and Renewal ... 機密情報に期限が設定出来ます。期限が過ぎた機密情報は自動的に削除されます。期限を延長することも可能です。
Revocation ... 機密情報をRevoke(失効)することが出来ます。Revokeは単一のkeyによる指定だけでなく、特定の機密をまとめて削除することが出来ます。Leaseとrevokeを活用することで、key rolling(機密情報の周期的な更新)を促すことが可能です。
Audit Log ... 認証、機密情報へのアクセス、動的生成、Revoke等、全ての処理に対し詳細な監査ログが保存出来ます。

Vaultのライセンス

Vaultには3つのライセンス形態が用意されています。

Open Source ... オープンソース版です。上記の主な機能は全て使えます。
Pro ... ディザスターリカバリー対策機能があり、Vaultの機密情報が格納されたクラスターが複数のデータセンターで動作し、ストレージはレプリケーションされ、障害発生時にはフェイルオーバーします。商用環境の利用であればDR対策は必須でしょう。またクラスターを管理するためのUIが提供されます。9x5のSLA付きサポートもセットとなっています。
Premium ... HSMでの提供がサポートされます。またMFAも使うことが出来ます。大きいのがFIPS 140-2に対応していることで、FIPS 140が必須要件のシステムであればPremiumライセンスを利用することになるでしょう。24x7のSLA付きサポートもセットとなっています。

やってみる

本来であればサーバとクライアントは別々に立てるところですが、今回はまずVaultの動作を確認するところから進めたいと思いますので、ローカルPC上にサーバを立ち上げ、クライアントもローカルPCから使いたいと思います。

Vaultのインストール

Vaultのインストールは、バイナリファイルを使う方法と、githubにあるソースgopath を使う方法があります。今回は後者のソースからのインストールを行います。環境にはGolang(1.9以上)が導入されている必要があります。

$ go version
go version go1.9.3 darwin/amd64

$GOPATH/binにパスが通っていないとコンパイルでエラーが発生しますので、設定しておきます。

1	`$` `export` `PATH=$PATH:$GOPATH/bin`

必要なディレクトリを作成し、そこにgithubからソースをcloneしてきます。

$ mkdir -p $GOPATH/src/github.com/hashicorp
$ cd $GOPATH/src/github.com/hashicorp
$ git clone https://github.com/hashicorp/vault.git
$ cd vault

make bootstrapし、必要なビルドルールを入手します。

$ make bootstrap
 
Installing/Updating github.com/mitchellh/gox
Installing/Updating github.com/kardianos/govendor
Installing/Updating github.com/client9/misspell/cmd/misspell

makeでビルドします。devを付与することで、クロスコンパイルなしの、ローカルPCのみのバイナリを作成します。

1	`$` `make` `dev`

ビルドが終わったら動作確認します。

$ which vault
/Users/sasakidaisuke/bin/vault
 
$ vault -h
Usage: vault <command> [args]

Vaultのコマンド補完のインストール

単にvaultをビルドしインストールした状態だと、Vaultのオプションについてコマンド補完が効きません。

$ vault re
↑ここでtabキーを押しても補完されない

そこでコマンド補完をインストールします。

$ vault -autocomplete-install
$ exec $SHELL

動作確認。

$ vault re
↑ここでtabキーを押すと...↓
$ vault read

補完されました！

開発モードでサーバを起動する

Vaultサーバには、開発モードであるDev Serverが用意されています。Dev Serverはデータを暗号化した上でメモリ上に保管されるため、停止するとデータは消去されます。またデータへの接続はTLSなしで行われますため、通信経路上はセキュアではありません。本番環境や機密情報を保管するためには使えませんが、とりあえず動作確認のために開発モードで立ち上げてみます。

$ vault server -dev
==> Vault server configuration:
 
                     Cgo: disabled
         Cluster Address: https://127.0.0.1:8201
              Listener 1: tcp (addr: "127.0.0.1:8200", cluster address: "127.0.0.1:8201", tls: "disabled")
               Log Level: info
                   Mlock: supported: false, enabled: false
        Redirect Address: http://127.0.0.1:8200
                 Storage: inmem
                 Version: Vault v0.9.3
(...snip...)

このプロセスはフォアグラウンドで起動するため、コンソールが専有されます。以降のクライアントの操作は別ターミナルを起動して行います。

別ターミナルを起動し、Vaultサーバを起動時に表示されたVAULT_ADDRを設定します。

1	`$` `export` `VAULT_ADDR='http://127.0.0.1:8200'`

Vaultサーバのステータスを確認します。

$ vault status
Key             Value
---             -----
Seal Type       shamir
Sealed          false
Total Shares    1
Threshold       1
Version         0.9.3
Cluster Name    vault-cluster-XXXX
Cluster ID      XXXX
HA Enabled      false

値を書いてみる

では実際に値を書き込んでみます。writeの箇所で、keyの前に「secret/」と付与する必要があります。詳細は後日アーキテクチャのところで説明できればと思います。

$ vault write secret/sasakidaisuke value=smokeymonkey
Success! Data written to: secret/sasakidaisuke

値を読んでみる

上記で書き込んだ値を読み込みんでみます。writeの箇所で、keyの前に「secret/」と付与する必要があります。詳細は後日アーキテクチャのところで説明できればと思います。

$ vault read secret/sasakidaisuke
Key                 Value
---                 -----
refresh_interval    768h
value               smokeymonkey

JSON形式で読み込むことも出来ます。

$ vault read -format=json secret/sasakidaisuke
{
  "request_id": "20af30ef-0d59-3eff-5bf1-d62a079048f7",
  "lease_id": "",
  "lease_duration": 2764800,
  "renewable": false,
  "data": {
    "value": "smokeymonkey"
  },
  "warnings": null
}

値を削除する

値の削除はdeleteオプションで可能です。

$  vault delete secret/sasakidauske
Success! Data deleted (if it existed) at: secret/sasakidauske

さいごに

とりあえず手を動かしてVaultを知りました。引き続き詳細の調査をしていきたいと思います。

前の記事へ