HashiCorp Vault

​

지원 플랫폼

​

사전 요구사항

1. 접근 가능한 Vault 주소 — 샌드박스는 네트워크를 통해 VAULT_ADDR에 연결합니다. 로컬 머신이 아닙니다. localhost, 개인 주소 대신 공개 DNS 이름 또는 HCP 엔드포인트를 사용하세요.
2. 자격증명 — Vault 토큰, 또는 에이전트가 쿼리할 경로에 대한 읽기 접근을 허용하는 정책이 연결된 AppRole (role_id + secret_id).
3. (Enterprise / HCP만 해당) 시크릿이 있는 네임스페이스.

​

설정

vault policy write cloudthinker-read - <<EOF
path "kv/data/*" {
  capabilities = ["read", "list"]
}
path "kv/metadata/*" {
  capabilities = ["list"]
}
EOF

vault token create \
  -policy=cloudthinker-read \
  -ttl=720h \
  -display-name=cloudthinker

vault auth enable approle

vault policy write cloudthinker-read - <<EOF
path "kv/data/*" {
  capabilities = ["read", "list"]
}
path "kv/metadata/*" {
  capabilities = ["list"]
}
EOF

vault write auth/approle/role/cloudthinker \
  token_policies=cloudthinker-read \
  token_ttl=1h \
  token_max_ttl=4h \
  secret_id_ttl=720h

vault read auth/approle/role/cloudthinker/role-id
vault write -f auth/approle/role/cloudthinker/secret-id

​

연결 세부 정보

​

필요 권한

​

에이전트 기능

​

연결 확인

@oliver #report list all mounted auth methods and check Vault health

​

예시 프롬프트

@oliver #report list all secrets under the kv mount and summarize what's there
@oliver #report show Vault health, seal status, and version
@oliver #recommend audit the current token — what policies and TTL does it have

​

문제 해결

vault write -f auth/approle/role/cloudthinker/secret-id

​

보안

• 최소 권한 — 에이전트가 사용 사례에 필요한 권한만 부여하세요. 읽기 전용으로 시작한 후 필요에 따라 확장하세요.
• 기본 읽기 전용 — 에이전트가 이 연결을 통해 변경 작업을 수행하게 할 것이 아니라면 읽기 전용 자격증명을 사용하세요.
• 자격증명 교체 — 정기 일정에 따라 키와 토큰을 교체하세요. 연결을 업데이트하면 CloudThinker가 새 값을 자동으로 반영합니다.
• 오프보딩 시 취소 — 연결을 삭제하거나 팀원이 퇴사할 때 프로바이더에서 자격증명을 제거하세요.

• 프로덕션에서 AppRole 권장 — 장기 토큰 교체 없이 secret_id를 갱신하세요.
• 쓰기 작업 제한 — 자격증명 발급 및 변경이 항상 인간의 승인을 거치도록 쓰기 경로를 승인 필요로 유지하세요.

​

관련 항목