Ferramentas
HashiCorp Vault
Cofre de segredos da HashiCorp para guardar senhas, chaves de API e certificados, gerar credenciais temporárias e registrar cada acesso em auditoria.
Senha de banco num arquivo de configuração e chave de API colada no código são problemas antigos. O Vault centraliza esses segredos (tokens, senhas, certificados e chaves de criptografia) atrás de uma única interface, com controle de acesso e log de auditoria detalhado. Ele funciona por interface web, linha de comando ou API HTTP.
Para que serve
- Armazenar pares chave e valor, cifrados antes de ir para o disco ou para o Consul.
- Gerar credenciais sob demanda para AWS ou bancos SQL, revogadas quando o prazo vence.
- Cifrar e decifrar dados para uma aplicação sem que o Vault guarde esses dados.
- Revogar de uma vez todos os segredos lidos por um usuário, útil depois de uma invasão.
Como começar
A página de instalação cobre a Community Edition, com binário para macOS, Windows, Linux e FreeBSD e pacotes para Ubuntu, Debian, RHEL, Fedora e Amazon Linux. No macOS:
brew tap hashicorp/tap
brew install hashicorp/tap/vaultO site tem guias rápidos separados para desenvolvimento e para operação, além de um sandbox com as ferramentas já instaladas. Recursos como HSM, namespaces e políticas Sentinel ficam na edição Enterprise.
Licença e custo
O arquivo LICENSE do repositório traz a Business Source License 1.1, que não é aprovada pela OSI como open source. Ela libera uso em produção, inclusive interno na empresa. O que ela proíbe é oferecer o Vault a terceiros, hospedado ou embutido, para competir com as versões pagas da IBM. Cada versão passa para a MPL 2.0 quatro anos depois de publicada.
Há também o HCP Vault Dedicated, versão gerenciada com teste grátis, e a edição Enterprise.
Quando vale a pena
O Vault resolve o caso da empresa com muitas aplicações, contas de serviço e chaves espalhadas, o problema descrito no post sobre identidade de máquina. Ele combina com uma arquitetura Zero Trust, em que nenhuma credencial fica fixa.
Para um único servidor com meia dúzia de senhas, manter o Vault no ar pode pesar mais que o ganho. Quem cria a infraestrutura com o Terraform encontra no Vault a peça de segredos do mesmo fornecedor.