如何在 Linux 上使用 Vault 儲存敏感數據

HashiCorp Vault 將靜態金鑰儲存在鍵值 (KV) 金鑰引擎中，並允許授權使用者透過其 Web UI 或 CLI 檢索這些金鑰。本指南示範了在本機 Linux 機器上的工作流程。它使用KV v2 密鑰引擎和 Vault 開發模式，該模式故意不安全，資料僅保存在記憶體中，並在停止運行時刪除。此處請使用佔位符值；請勿輸入真實的密碼、API 金鑰或私鑰。對於持久性敏感數據，請在非開發模式下部署 Vault，並使用持久性儲存和適當的存取控制。

在 Debian 或 Ubuntu 上安裝 Vault

請使用 HashiCorp 的官方軟體包倉庫，而不是使用舊的、版本鎖定的下載連結。以下命令會新增其簽章金鑰和 apt 倉庫，然後安裝 Vault。如果您使用的是 RHEL、Fedora 或 Amazon Linux，請在Vault 官方安裝頁面上選擇對應的軟體包安裝說明。

sudo apt update && sudo apt install -y wget gpg
wget -O - https://apt.releases.hashicorp.com/gpg | sudo gpg --dearmor -o /usr/share/keyrings/hashicorp-archive-keyring.gpg
echo "deb [arch=$(dpkg --print-architecture) signed-by=/usr/share/keyrings/hashicorp-archive-keyring.gpg] https://apt.releases.hashicorp.com $(grep -oP '(?<=UBUNTU_CODENAME=).*' /etc/os-release || lsb_release -cs) main" | sudo tee /etc/apt/sources.list.d/hashicorp.list
sudo apt update && sudo apt install vault

確認 CLI 已加入您的系統路徑：

vault --version

啟動本地演示伺服器

在按照教學操作的同時，請將此進程保持在終端機視窗中運行。將其綁定到回環位址，使其只能從您自己的電腦存取：

vault server -dev -dev-listen-address=127.0.0.1:8200

Vault 會自動初始化並解封此開發伺服器。其啟動輸出包含一個根令牌；您需要使用此令牌登入使用者介面。此令牌擁有廣泛的管理權限，因此請將其保存在本機上，切勿共用。開發模式還使用不安全的預設設定和記憶體儲存。 HashiCorp 明確指出，此模式僅用於實驗，不適用於生產環境。使用者介面位於 [此處應填寫使用者介面位址] http://127.0.0.1:8200/ui。演示程式使用環回連接埠上的純 HTTP 協定；切勿將此連接埠暴露給網路。

為了獲得可複現的範例，請建立一個名為 `<mount_name>` 的獨立 KV v2 掛載點linux-kv。在第二個終端機中，設定伺服器位址，並在演示運行時啟用該掛載點一次：

export VAULT_ADDR='http://127.0.0.1:8200'
vault secrets enable -path=linux-kv kv-v2

這樣就避免了依賴預設掛載點名稱，因為不同範例配置中的預設名稱可能有所不同。 KV v2 掛載點會記錄密鑰寫入版本資訊。 Vault 的KV v2 設定文件詳細介紹了掛載指令和 UI 工作流程。

在 Vault 的 Web 使用者介面中儲存一個測試金鑰。

1. 在瀏覽器中開啟http://127.0.0.1:8200/ui。輸入伺服器終端機中顯示的根令牌並登入。 Vault 使用者介面在開發模式下預設啟用；請參閱官方使用者介面文件。
2. 選擇「金鑰」，開啟linux-kv/掛載點，然後選擇建立金鑰的選項。引擎頁面應將此掛載點標識為鍵/值版本 2。

3. 在密鑰路徑中，輸入linux-demo。在鍵/值欄位中，輸入api_key作為鍵，test-value作為值。按一下「儲存」。這些是範例字串，並非憑證。

掛載點和路徑共同標識此記錄linux-kv/linux-demo。請使用中性路徑名稱和鍵名稱：名稱可能會出現在清單或元資料中，因此請勿在其中放置密碼或其他敏感資訊。對於普通的可重複使用鍵值記錄，請使用 KV 格式。 Vault 的Cubbyhole 引擎的作用域限定於單一令牌，並在該令牌過期時銷毀。

使用 CLI 寫入和檢索金鑰。

開發伺服器會自動驗證本機 Vault CLI 的身份。如果需要，請在另一個終端機中設定其位址，然後使用以下明確掛載語法：

export VAULT_ADDR='http://127.0.0.1:8200'
vault kv put -mount=linux-kv linux-demo api_key=test-value
vault kv get -mount=linux-kv linux-demo

此get指令會列印值，因此範例中只使用了佔位符。 KV v2put會寫入新版本並取代金鑰的目前資料；請包含所有要保留的欄位。避免將真實憑證直接放在 shell 命令中，因為它們可能會保留在 shell 歷史記錄中，或對本機進程可見。對於真實使用者或應用程序，請使用非 root 使用者身分和範圍較小的 ACL 策略。

停止演示，準備將 Vault 用於真實資料。

返回運行伺服器的終端，然後按Ctrl+C。演示程式停止運行，記憶體中的密鑰和令牌將遺失。重新啟動會建立一個新的實例，不會恢復先前的記錄。

為了確保真正機密的安全，請設定非開發用途的 Vault 伺服器，並為其配備持久性儲存後端。 HashiCorp 建議許多自管理部署方案使用整合式儲存體；其Raft 文件詳細解釋了整合式儲存的持久性和備份/復原功能。檔案系統後端是另一種適用於持久性單一伺服器部署的選項，但它不提供高可用性。

實際部署還需要客戶端連線使用 TLS、生產環境驗證、最小權限原則、受保護的初始化和解封資料、受限的檔案系統存取以及經過測試的備份。 Vault 會對靜態儲存的資料進行加密，但伺服器、其令牌及其備份仍需要保護。在儲存您依賴的憑證之前，請務必遵循 HashiCorp 的開發模式警告和生產環境部署指南。