Jul 8, 2023

使用HashiCorp Vault Kubernetes驗證方法進行身份驗證

隨著機構採用容器化和編配技術如Kubernetes，管理秘密和身份驗證成為他們基礎設施的關鍵部分。HashiCorp Vault，一種流行的秘密管理方案，提供了堅固的身份驗證機制，以確保對敏感數據的安全訪問。其中一種身份驗證方法是HashiCorp Vault Kubernetes Auth方法，利用Kubernetes服務賬戶令牌進行身份驗證。在本博客文章中，我們將探討此認證方法的功能和優點以及它如何簡化HashiCorp Vault進入Kubernetes環境的整合。

理解HashiCorp Vault Auth方法：

HashiCorp Vault將auth方法作為處理身份驗證和授權任務的組件，為用戶分配身份和政策。這些auth方法在請求處理期間強制執行身份驗證。然而，對於像Kubernetes這樣的外部auth方法，HashiCorp Vault將身份驗證決策委派給相應配置的外部服務，在此情況下為Kubernetes。

HashiCorp Vault中的Kubernetes Auth方法：

HashiCorp Vault中的Kubernetes auth方法使能使用Kubernetes服務帳戶令牌進行身份驗證。這種方法簡化了將HashiCorp Vault令牌引入Kubernetes Pods的過程，使得在Kubernetes環境下運行的應用程序可以方便地進行認證並安全地訪問秘密。

身份驗證過程：

當使用Kubernetes auth方法時，HashiCorp Vault會與Kubernetes TokenReview API進行交互，以驗證所提供的JWT（JSON Web Token）。該令牌的有效性在初次身份驗證以及後續令牌續訂期間均會被檢查。這意味著由HashiCorp Vault發出的令牌在續訂或用戶重新身份驗證發生之前始終有效。身份驗證過程實現了HashiCorp Vault與Kubernetes之間的無縫整合，充分利用Kubernetes Service Account Tokens中固有的安全機制。

為Vault整合配置Kubernetes：

要在HashiCorp Vault中啟用Kubernetes auth方法，需要進行某些配置。與該身份驗證方法一起使用的服務賬戶應該有訪問Kubernetes TokenReview API的權限。由於Kubernetes採用基於角色的訪問控制（RBAC），因此需要授予服務賬戶訪問TokenReview API的權限。通過配置適當的RBAC角色，組織可以確保Kubernetes auth方法順利且安全地運行。

示例

在HashiCorp Vault方面，我們可以通過運行下面的命令來啟用這個功能：

vault auth enable kubernetes

你會收到一個消息 “Success! Enabled kubernetes auth method at: kubernetes/“。然後配置角色，綁定的服務帳戶名稱，綁定的服務帳戶名稱空間以及政策。

在kubernetes cluster方面，下面是你需要的clusterrole綁定：

---
# This binding allows the deployed instance to authenticate clients
# through Kubernetes ServiceAccounts.
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: role-tokenreview-binding
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: system:auth-delegator
subjects:
  - kind: ServiceAccount
    name: <your_service_account>
    namespace: <your_namespace>

HashiCorp Vault Kubernetes Auth方法的好處：

簡化的整合：通過利用Kubernetes服務帳戶令牌，Kubernetes auth方法降低了將HashiCorp Vault與Kubernetes環境整合的複雜性。開發人員可以輕易地從他們的Pods中進行認證並取得秘密，而不需要復雜的身份驗證邏輯。
加強的安全性：Kubernetes服務帳戶令牌提供了一種安全的認證機制，因為它們由Kubernetes自動旋轉和管理。通過利用這些令牌，HashiCorp Vault確保只有授權的應用程序和用戶可以訪問秘密，從而加強了基礎設施的整體安全狀態。
集中的秘密管理：通過Kubernetes auth方法，組織可以將他們的秘密管理集中在HashiCorp Vault中，同時無縫地與Kubernetes進行整合。這使得團隊可以遵循安全最佳實踐，如定期旋轉秘密，審核訪問和實施細膩的訪問控制。

總結：

HashiCorp Vault Kubernetes Auth方法提供了一種流暢且安全的方式來進行認證並在Kubernetes環境內訪問秘密。通過利用Kubernetes服務帳戶令牌並與Kubernetes TokenReview API進行整合，HashiCorp Vault簡化了身份驗證過程並提供了集中的秘密管理。這種身份驗證方法賦予機構增強他們的安全狀態的能力，同時讓HashiCorp Vault和Kubernetes的好處以協調的方式發揮出來。