这是newrelic高级应用程序安全工程师Matthew Lapworth的客座帖子。New Relic是一家领先的数字智能公司，拥有超过14000个付费商业账户，提供全面的可视性和分析功能。New Relic数字智能平台提供了可操作的见解，以推动数字业务成果。各种规模的公司都信任New Relic来监控应用程序和基础设施的性能，以便他们能够快速解决问题，并改善数字客户体验。在newrelic，我们的系统和基础设施已经发展壮大，我们面临着安全存储和管理凭证的挑战。HashiCorp Vault为我们提供了一种管理机密和凭证的一致方法。机密管理面临的挑战我们的平台已经发展到可以与许多内部和第三方系统集成的程度。我们的每一个服务都需要几十个证书才能正常工作。凭证管理成为一个障碍，导致凭证存储实践不一致。管理凭证的困难给寻求在单个代码库上协作的团队带来了严重的挑战。更改服务使用的凭据涉及到与多个团队协调，每个团队都有更改后的凭据的副本。发生安全事件时，必须更改一个或多个凭据。然而，由于这些变更的不经常性，程序没有被很好地理解，并导致频繁的服务中断，这是因为团队没有得到变更的通知，或者变更中包含不完整的特性和功能。使用HashiCorp Vault保护和管理产品套件的机密我们利用保险库来管理机密和凭证，以及另外两个HashiCorp工具来实现我们完整的机密管理解决方案。HashiCorp consur存储机密管理系统并为其提供高可用性，HashiCorp Terraform控制机密管理集群的生命周期。Vault的最初用例是存储由newrelic的产品套件组成的服务所使用的大量凭证。每个团队在通用凭据后端中分配了一个分区来存储其服务的机密。这种方法允许团队将秘密的轮换与服务的部署分离，并将秘密存储在一个严格访问控制的位置。我们的体系结构包括一个用于集成的保险库群集，另一个用于生产环境的保险库群集，运行在我们的生产AWS帐户中。这个专有网络通过Amazon Direct Connect连接到我们的主数据中心。我们有5台主机运行Vault，5台主机运行CONSUR作为存储后端。我们使用带有运行状况检查的负载平衡器来指向Vault主服务器。在整个过程中，我们学到了一些有助于我们前进的东西：确保您有一个经过深思熟虑和实践的登机服务流程。这在首次推出Vault时尤为重要。当newrelic的开发人员听说有一个安全且易于使用的系统可以解决他们的凭证管理问题时，他们非常愿意做迁移工作。为了确保顺利推出和无服务中断，我们最初将一些低复杂度的服务迁移到Vault。这使我们能够测试我们的入职流程，并摆脱在讨论和文档中没有明确提出的任何假设。在推出保险库之前，请特别注意计划如何按照团队和服务划分机密。一旦保险库大量使用，这可能很难改变。一盎司的计划胜过一个月的维护窗口。将来，我们计划使用保险库进行连续的凭证轮换，利用各种动态秘密后端来创建短期访问凭证。这将包括从内置的PKI向服务颁发证书，以进行客户端身份验证，并在传输过程中对服务进行加密。此外，我们将更多地利用动态秘密后端来自动访问和撤销AWS、通过bastion+SSH访问主机以及使用内置PKI的证书部署。金库已经成为我们New Relic安全策略的核心部分。它与其他一些服务一起创建了基础设施的基础，它抽象了诸如证书管理、Authn/Authz之类的复杂主题，并使安全的事情也能做简单的事情。HashiCorp Vault是一种保护任何基础设施和应用程序的产品。Vault提供了一致的工作流来安全地存储和管理机密、提供加密即服务以及细粒度的权限访问管理。要了解有关HashiCorp保险库的更多信息，请访问https://www.hashicorp.com/products/vault/。