その周辺の認証を一元化し、適切な暗号化・Auditなどをしっかりしたとしても以下の課題が残っています。Secretsはそれを解決するための手段です。Engineが利用可能になりました。デフォルトもaws/ですが、変更したい場合は指定します。Roleを設定すればIAMユーザやアクセスキーの発行をせずに済みます。IAMユーザで付与する場合そうでない場合はIAMの権限を持ったIAMユーザを作成し、アクセスキーを発行してください。マネージドポリシーのIAMFullAccessがあれば十分です。region=ap-northeast-1ちなみに一度書き込んだデータは読み取れないので漏洩の心配はないです。動的生成するIAMユーザにどんなRoleを付与するかを設定します。EC2リソースの全権限を付与する場合は以下です。vault上ではec2-roleという名前にしています。呼び出す時に使用します。]}EOF検証TTLの設定renewの検証もしたいのでTTLを設定します。Diemを参考にしてください。max_lease_ttl=30m確認します。30mLease(IAMユーザを動的に生成する)aws/creds/:nameというパスに先程のec2-roleを設定してreadすると、以下のように10分限定のIAMユーザが生成されます。<nil>Webコンソールでも確認できます。Renewmax-ttlまでであれば、Lease期限を更新することもできます。trueアクセスキーが再作成されるわけではないです。Revoke10分待てば自動でRevokeされますが、手動でもRevokeしてみます。successfully!Webコンソールからも削除されたことを確認できます。まとめ秘密情報とその周辺の認証を一元化することは非常に重要ですが、それだけではまだ先に挙げた課題を解決できません。Secretsによって永続的な鍵の運用、鍵の共有を避ける基本的に秘密情報をアプリケーションに持たせない仮にtokenが漏れたとしても被害を最小限に留めるといったこともできるようになります。VaultのTokenにはLeaseという概念があります。VaultにはPKI(公開鍵基盤)の機能もあります。»プロフィールid:quoll00AWAのサーバ・インフラのリードエンジニアを経て現在AbemaTVにて開発。Webフロントもやります。(1)月別アーカイブはてなブログをはじめよう!quoll00さんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。