随便记记：Nessus Integration with Hashicorp Vault

抽了点空，画了一个Vault的Usecase， 先说下这个设计有四种方式（两种不同的认证方式和两种不同的凭证存储方式），最终选择了的是采用TLS Cert作为Vault的认证方式，然后用OpenLDAP Engine去管理Service Account的账户和密码。这样做的好处是什么呢？

1. 服务账户的密码可以动态轮换（KV Engine无法实现），对于Nessus这种工具而言即完成了扫描，又不存在泄露服务账户的密码。

2. 通过IDP可以管理哪些机器在扫描范围内，哪些不在，而不是全网通用的某个root账户

3. 采用TLS Cert的认证方式不需要考虑Approle方式中的Secret id的时效问题，并且Cert的管理不仅可以通过Vault进行，也可以通过PKI去吊销某个认证证书（这一点未测试，同时应该有办法bypass）

 那除此之外能不能举一反三，透过这些组件去推出其他的东西呢？把Nessus抽象成其他的Application？Service Account Management背后的IDP架构设计有哪些种？怎么控制全网Root Account的Password，怎么Rotation？

好了，先随便记一个。随便记记系列的东西随手分享，有不少细节肯定是需要大篇幅讨论的，所以权当抛砖引玉哈。

原文始发于微信公众号（放之）：随便记记：Nessus Integration with Hashicorp Vault