HashiCorp Vault

​

対応プラットフォーム

​

前提条件

1. 到達可能な Vault アドレス — サンドボックスは VAULT_ADDR にネットワーク経由で接続します。ご自身のマシンではありません。localhost やプライベートアドレスではなく、パブリック DNS 名または HCP エンドポイントを使用してください。
2. クレデンシャル — Vault トークン、または AppRole（role_id + secret_id）。エージェントがクエリしたいパスへの読み取りアクセスを付与したポリシーが必要です。
3. （Enterprise / HCP のみ） シークレットが存在するネームスペース。

​

セットアップ

vault policy write cloudthinker-read - <<EOF
path "kv/data/*" {
  capabilities = ["read", "list"]
}
path "kv/metadata/*" {
  capabilities = ["list"]
}
EOF

vault token create \
  -policy=cloudthinker-read \
  -ttl=720h \
  -display-name=cloudthinker

vault auth enable approle

vault policy write cloudthinker-read - <<EOF
path "kv/data/*" {
  capabilities = ["read", "list"]
}
path "kv/metadata/*" {
  capabilities = ["list"]
}
EOF

vault write auth/approle/role/cloudthinker \
  token_policies=cloudthinker-read \
  token_ttl=1h \
  token_max_ttl=4h \
  secret_id_ttl=720h

vault read auth/approle/role/cloudthinker/role-id
vault write -f auth/approle/role/cloudthinker/secret-id

​

接続詳細

​

必要な権限

​

エージェントの機能

​

接続を確認する

@oliver #report list all mounted auth methods and check Vault health

​

プロンプト例

@oliver #report list all secrets under the kv mount and summarize what's there
@oliver #report show Vault health, seal status, and version
@oliver #recommend audit the current token — what policies and TTL does it have

​

トラブルシューティング

vault write -f auth/approle/role/cloudthinker/secret-id

​

セキュリティ

• 最小権限 — エージェントがユースケースに必要な権限のみを付与します。まず読み取り専用から始め、後から拡張してください。
• デフォルトで読み取り専用 — エージェントにこの接続で変更を行わせる場合を除き、読み取り専用の認証情報を使用してください。
• 認証情報のローテーション — 通常のスケジュールに従ってキーとトークンをローテーションしてください。接続を更新すると、CloudThinker が新しい値を自動的に取得します。
• オフボーディング時に失効 — 接続を削除するか、チームメンバーが退職する際には、プロバイダー側で認証情報を無効化してください。

• 本番環境では AppRole を推奨 — 長期トークンを置き換えることなく secret_id をローテーションできます。
• 書き込み操作のゲート — クレデンシャルの発行と変更が常に人間の承認を経るよう、書き込みパスは承認制に保ってください。

​

関連