抽了点空,画了一个Vault的Usecase, 先说下这个设计有四种方式(两种不同的认证方式和两种不同的凭证存储方式),最终选择了的是采用TLS Cert作为Vault的认证方式,然后用OpenLDAP Engine去管理Service Account的账户和密码。这样做的好处是什么呢?
1. 服务账户的密码可以动态轮换(KV Engine无法实现),对于Nessus这种工具而言即完成了扫描,又不存在泄露服务账户的密码。
2. 通过IDP可以管理哪些机器在扫描范围内,哪些不在,而不是全网通用的某个root账户
3. 采用TLS Cert的认证方式不需要考虑Approle方式中的Secret id的时效问题,并且Cert的管理不仅可以通过Vault进行,也可以通过PKI去吊销某个认证证书(这一点未测试,同时应该有办法bypass)
那除此之外能不能举一反三,透过这些组件去推出其他的东西呢?把Nessus抽象成其他的Application?Service Account Management背后的IDP架构设计有哪些种?怎么控制全网Root Account的Password,怎么Rotation?
好了,先随便记一个。随便记记系列的东西随手分享,有不少细节肯定是需要大篇幅讨论的,所以权当抛砖引玉哈。
原文始发于微信公众号(放之):随便记记:Nessus Integration with Hashicorp Vault
- 左青龙
- 微信扫一扫
- 右白虎
- 微信扫一扫
评论