Управление секретами вашей базы данных с хранилищем

В моем предыдущем посте об управлении секретами с помощью Vault я познакомил вас с Vault и с тем, как хранить произвольные секреты, используя общий секретный бэкэнд. Vault может управлять не только секретными данными, такими как ключи API, пароли и другие конфиденциальные строковые данные. Сегодня мы рассмотрим интеграцию Vault с базами данных, сервисами и сертификатами.

Учетные данные базы данных имеют тенденцию быть статичными

Когда дело доходит до баз данных, регулярный рабочий процесс получения учетных данных, подающих заявку на базу данных, требует от какого-либо оператора или инструмента самообслуживания предоставить вам учетные данные, чтобы ваше приложение могло войти в базу данных. На этом этапе учетные данные считаются статическими. Учетные данные обычно меняются в случае переноса базы данных или в случае нарушения безопасности.

В Spring Cloud Vault вы можете хранить имя пользователя и пароль в Vault вместо конфигурации вашего приложения. Spring Config Server также является хорошим выбором; это позволяет хранить зашифрованные секреты в вашем хранилище конфигураций. Ваши учетные данные защищены.

Есть одно предупреждение: долгоживущие учетные данные являются хорошей целью для утечки. Утечка учетных данных может дать доступ к непреднамеренной стороне. Несколько баз данных реализуют ограничения на исходные хосты. В некоторых случаях пользователь базы данных может быть ограничен группой хостов. Это ограничение препятствует доступу с других хостов. Тем не менее, каждый пользователь и процесс, имеющий доступ к разрешенному компьютеру, может использовать утечку учетных данных. Но как вы обнаружили эту утечку? Вы можете обнаружить утечку, если ваши данные были переданы общественности или Интернету, но это не всегда так. В других случаях непреднамеренная сторона может прочитать или изменить ваши данные, и она вполне уверена, что утечка остается незамеченной в течение достаточно долгого времени.

Давайте сделаем учетные данные недолгим.

Хранилище и базы данных

Vault поставляется с различными интеграциями для разных систем. Некоторые из них интегрируются с PostgreSQL и MySQL в качестве секретного бэкэнда. Секретный бэкэнд может предоставить секреты. В этом случае секретный бэкэнд не означает, что секретные данные хранятся в PosgreSQL / MySQL. Это означает, что Vault может создавать (и отзывать) пользователей для баз данных по требованию.

Чтобы сгенерировать учетные данные базы данных, вам нужно сначала установить роль. Роли управляют контекстом разрешений для генерации учетных данных базы данных. Роль определяет разрешения, связанные с учетными данными. Эта концепция хорошо отображается, если вы запускаете разные приложения, и для каждого приложения требуются разные разрешения базы данных.
Роль также определяет максимальное время аренды для полученных учетных данных. Срок аренды — в Vault-говорить, срок действия учетных данных действительны. Vault отзывает учетные данные из системы базы данных после истечения срока их действия. Некоторые базы данных, такие как PostgreSQL, имеют встроенную поддержку истечения срока действия пароля с помощью этого CREATE ROLE … VALID UNTIL …предложения.

Первые шаги с Vault и MySQL

Теперь, как начать работу с Vault и MySQL?

Вам нужен инициализированный и открытый сервер Vault и работающий сервер MySQL. Смотрите предыдущий пост, как настроить Vault.

Затем вы можете настроить серверную часть MySQL, указав детали подключения и объявление роли:

Сначала установите mysqlсекретный бэкэнд с

$ vault mount mysql
Successfully mounted 'mysql' at 'mysql'!

$ vault write mysql/config/connection \
connection_url="root:[email protected](127.0.0.1:3306)/"
Success! Data written to: mysql/config/connection

$ vault write mysql/roles/readonly \
sql="CREATE USER '{{name}}'@'%' IDENTIFIED BY '{{password}}';GRANT SELECT ON *.* TO '{{name}}'@'%';"
Success! Data written to: mysql/roles/readonly

$ vault read mysql/creds/readonly
Key            Value
---            -----
lease_id       mysql/creds/readonly/2e7cd1d0-e313-158e-c9a4-1dd3c3277642
lease_duration 2592000
lease_renewabletrue
password       04cf512a-57f8-d146-9cf5-ec2bd829ca8c
username       token-10a8b69f-a

$ mysql -h 127.0.0.1 -utoken-10a8b69f-a -p04cf512a-57f8-d146-9cf5-ec2bd829ca8c
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 5
...

<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-vault-starter-config</artifactId>
    <version>1.0.0.BUILD-SNAPSHOT</version>
</dependency>

<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-vault-config-databases</artifactId>
    <version>1.0.0.BUILD-SNAPSHOT</version>
</dependency>

<dependency>
    <groupId>org.springframework</groupId>
    <artifactId>spring-jdbc</artifactId>
</dependency>

<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
</dependency>

<repositories>
    <repository>
    <id>spring-snapshots</id>
    <name>Spring Snapshots</name>
    <url>https://repo.spring.io/libs-snapshot</url>
    <snapshots>
    <enabled>true</enabled>
</snapshots>
</repository>
</repositories>

repositories {
    maven {
        url 'https://repo.spring.io/libs-snapshot'
    }
}

dependencies {
    compile("org.springframework.cloud:spring-cloud-vault-starter-config:1.0.0.BUILD-SNAPSHOT")
    compile("org.springframework.cloud:spring-cloud-vault-config-databases:1.0.0.BUILD-SNAPSHOT")
    compile("org.springframework:spring-jdbc:4.3.1.RELEASE")
    compile("mysql:mysql-connector-java:5.1.39")
}

spring.cloud.vault:
token: 9a63de21-8af7-311a-9a5a-151b6a0d4795
scheme: http
generic:
enabled: false
mysql:
enabled: true
role: readonly

spring.datasource.url: jdbc:mysql://127.0.0.1:3306

$ vault token-create
Key            Value
---            -----
token          728d26ae-53a6-d8b6-d7a0-c5f62238ea55
token_accessor 2fd7dcba-39d0-04d3-8d6b-096c3529cf14
token_duration 0
token_renewabletrue
token_policies [root]

@SpringBootApplication
public class MySqlApplication {
    public static void main(String[] args) {
        SpringApplication.run(MySqlApplication.class, args);
    }

    @Autowired
    DataSource dataSource;

    @PostConstruct
    private void postConstruct() throws Exception {

        try (Connection connection = dataSource.getConnection();
        Statement statement = connection.createStatement()) {

            ResultSet resultSet = statement.executeQuery("SELECT CURRENT_USER();");
            resultSet.next();

            System.out.println("Connection works with User: " + resultSet.getString(1));

            resultSet.close();
        }
    }