訪問秘密商店的服務

Question

我試圖理解人類，服務和秘密商店之間的互動。 我一直在尋找HashiCorp Vault文檔和教程，以嘗試更好地理解。 我使用的是Vault而不是下面那個更加繁瑣的“秘密商店”：

用例是服務需要訪問Vault以獲取密鑰（例如數據庫連接字符串）。 看起來配置具有訪問Vault的憑據的服務的人也會知道這些憑證並且可以隨時模擬該服務。

另一方面，如果Vault也是服務的身份提供者，它可以提供在服務初始化期間使用的一次性初始憑證。 然后，這些被旋轉出來。 此時，人類無法冒充他們在“正常操作”期間設置的服務。

但是，我沒有在文檔中讀過這個用例，所以我很困惑。

為了增加清晰度，我理解最終必須有人信任。 例如，操作工程師可以擁有自己的憑據來訪問Vault並獲取同一數據庫的密碼。 這將允許用戶訪問，但不允許該用戶模擬該服務。 有沒有理由說操作工程師在初始化后還應該知道服務自己的憑據來訪問Vault？

Answer 1

Vault支持為多個服務創建一次性使用憑證，主要是數據庫 - 請參閱文檔的“ 秘密后端”部分。

mysql后端包括以下描述：

此外，它還引入了一項新功能：每個服務都使用唯一的憑據訪問數據庫，當發現可疑的數據訪問時，它使審計變得更加容易：您可以根據SQL用戶名將其跟蹤到特定的服務實例。