尼古拉斯·科拉雷洛（Nicolas Corrarello）是总部位于伦敦的HashiCorp解决方案工程的区域总监。每当采用任何新的软件产品时，总会有操作上的考虑因素。尤其是在HashiCorp Vault的案例中，HashiCorp的集中式机密管理解决方案是一把双刃剑，其安全性与周围的治理一样好。在Vault中维护一组复杂的策略通常需要在多个角色中进行协作：需要访问一组机密的开发人员或应用程序架构师。安全官员，负责审查政策并最终批准访问。通常执行策略的运算符。合规官或审计员，需要对策略的更改内容、方式和时间进行完全跟踪。最重要的是，策略更改需要强制执行、可审核和易于测试。需要对策略进行版本控制，并将其存储在一种容易被低估的位置，以便进行仔细检查，因为在这种情况下，策略获得的曝光越多，就越容易发现其中的问题。需要一种工具，当涉及到政策时，这种工具是必不可少的，它可以采用政策的任何版本，并快速评估实际状态与期望状态之间的差异。最后，在敏捷世界中，我们需要一种方法来确保可以快速评估策略并将其集成到Vault中，从而缩短从需求到实现之间的时间。理想情况下，我们需要在软件中实现一个工作流，该工作流允许快速请求、验证、集成和推动策略更改，从而在保持闭环的同时减少引入失败的可能性。幸运的是，我们拥有实现这一目标所需的所有工具：维护策略和请求策略的理想工具当然是SCM或版本控制系统，例如GitHub、GitLab或BitBucket等。主要是因为它允许保留策略中引入的所有更改的完整历史记录，甚至可以回滚到某个特定的版本，但也因为这是开发人员使用的主要工具。因此，他们很熟悉通过版本控制中的拉请求来请求策略更改。潜在的合并控制权可以交给安全官员，以便简单地读取更改并决定是否允许。一个持续的集成工具，如Jenkins、Teamcity、Travis或Bamboo等，将能够对策略进行基本的解析验证，并通过使用正则表达式捕捉潜在的违规策略。最终，它可以将策略部署到保险库。最近发布的HashiCorp Terraform中的vault_策略资源使其成为执行部署的理想候选，原因有很多。Terraform的强制性质确保了Vault中的策略始终与版本控制中描述的策略相匹配。当Terraform维护一个状态时，它可以评估变更并提供将要执行的操作的详细变更集。如果不应用策略，Terraform将严重失败。通过使用terraform dry runs（terraform plan），我们可以快速评估运行策略是否符合版本控制中声明的内容，而不会因为审核原因而对运行策略进行任何更改。审核员可以简单地运行terraform plan来评估Vault集群是否符合要求。CI工具可以按计划运行terraform计划，以确保不会手动引入对策略的更改。这个实现的例子可以在包含这个Jenkinsfile的版本控制存储库中找到。在这种情况下，端到端工作流在Jenkins管道中描述，步骤如下：验证：对terraform文件和策略进行解析检查。安全检查：例如，确保策略未授予对/sys的访问权限，该路径是Vault中用于操作信息的路径（包括策略）。这是通过使用正则表达式来完成的。获取令牌：使用Approle获得一个短期令牌，该令牌允许进程将策略（并且仅限策略）读/写到保险库中。计划：进行一次试运行来检查更改。批准：人工干预，根据干运行批准变更。应用：将更改实施到Vault中。吊销：吊销用于操作的令牌。你对HashRP的产品感兴趣吗？告诉我们。将您的故事或想法发送至guestblogs@hashicorp.com