Konfigurieren von Authentifizierungsmethoden
Nachdem Sie ein Admin-Token generiert und die Ersteinrichtung Ihrer Vault Dedicated-Instanz abgeschlossen haben, konfigurieren Sie eine Authentifizierungsmethode, damit sich Ihre Anwendungen und Teams bei Vault authentifizieren können, ohne auf das Admin-Token angewiesen zu sein.
Das Admin-Token ist ausschließlich für die Erstkonfiguration und den Notfallzugriff vorgesehen. Verwenden Sie für den täglichen Betrieb eine dedizierte Authentifizierungsmethode.
Unterstützte Authentifizierungsmethoden
Während der öffentlichen Beta-Phase unterstützt Vault Dedicated die folgenden Authentifizierungsmethoden:
| Authentifizierungsmethode | Beste Option für | HashiCorp Dokumentation |
|---|---|---|
| token | Direkte tokenbasierte Authentifizierung. Werden für die Ersteinrichtung und zur Generierung von untergeordneten Tokens mit bereichsbezogenen Richtlinien verwendet. | Token-Authentifizierungsmethode |
| AppRole | Maschine-zu-Maschine-Authentifizierung für Anwendungen und Dienste. | AppRole Authentifizierungsmethode |
| Benutzerhandbuch | Benutzername- und Passwort-Authentifizierung für menschliche Benutzer. | Authentifizierungsmethode Userpass |
Vorbereitende Schritte
Bevor Sie eine Authentifizierungsmethode konfigurieren, stellen Sie sicher, dass Sie Folgendes haben:
- Eine laufende Vault Dedicated-Instanz. Siehe Erstellen einer Instanz des Dienstes Secrets Manager.
- Ein Admin-Token für Ihre Instanz. Siehe Verwalten von Admin-Tokens.
- Die Vault-CLI ist so konfiguriert, dass sie eine Verbindung zu Ihrer Instanz herstellt. Siehe die CLI-Referenz für HashiCorp Vault.
Aktivieren einer Authentifizierungsmethode
Verwenden Sie die Vault-CLI oder -API, um eine Authentifizierungsmethode auf Ihrer Instanz zu aktivieren. Das folgende Beispiel aktiviert die Authentifizierungsmethode AppRole.
-
Melden Sie sich mit Ihrem Admin-Token bei Ihrer Vault Dedicated-Instanz an.
export VAULT_ADDR="https://<instance_id>.vault.<region>.secrets-manager.appdomain.cloud" export VAULT_TOKEN="<admin_token>" -
Aktivieren Sie die Authentifizierungsmethode.
vault auth enable approle -
Erstellen Sie eine Rolle mit den entsprechenden Richtlinien.
vault write auth/approle/role/my-app \ token_policies="my-policy" \ token_ttl=1h \ token_max_ttl=4h -
Rufen Sie die Rollen-ID ab und generieren Sie eine geheime ID für Ihre Anwendung.
vault read auth/approle/role/my-app/role-id vault write -f auth/approle/role/my-app/secret-id
Eine vollständige Übersicht über die Konfigurationsoptionen und Beispiele für jede Authentifizierungsmethode finden Sie in der Dokumentation zu den Authentifizierungsmethoden der HashiCorp Vault.