Vault – мощный инструмент для безопасного хранения данных и управления ими. Он предоставляет различные методы аутентификации, гарантирующие, что только авторизованные пользователи смогут получить доступ к конфиденциальной информации. Однако в некоторых сценариях может потребоваться разрешить клиентам существовать в Vault без необходимости использования традиционных учетных записей пользователей. В этой статье мы рассмотрим несколько способов обеспечения существования клиента в Сейфе без учетной записи, а также приведем примеры кода, где это применимо.

Метод 1. Анонимный доступ
Один из подходов — разрешить анонимный доступ к определенным ресурсам в Vault. Этого можно достичь путем создания политик, которые предоставляют доступ для чтения к определенным путям или секретам без необходимости какой-либо аутентификации. Вот пример политики Сейфа, которая разрешает анонимный доступ для чтения к секретному пути:

path "secret/data/public/*" {
  capabilities = ["read"]
}

Метод 2: временные токены
Другой метод — выдача клиентам временных токенов для доступа к ресурсам Vault. Эти токены могут иметь срок действия, гарантируя, что доступ будет ограничен определенной продолжительностью. Вот пример создания временного токена с помощью Vault API:

import requests
def generate_temporary_token():
    response = requests.post('https://vault.example.com/v1/auth/token/create', json={"ttl": "1h"})
    token = response.json()['auth']['client_token']
    return token

Метод 3: аутентификация JWT
Веб-токены JSON (JWT) можно использовать для аутентификации клиентов без традиционных учетных записей пользователей. Клиенты могут получить JWT от доверенного поставщика удостоверений и предоставить его в Vault для доступа. Vault может проверить JWT и предоставить доступ на основе предоставленных утверждений. Вот пример аутентификации с помощью JWT с использованием интерфейса командной строки Vault:

$ vault login -method=jwt role=my-role jwt=<JWT>

Метод 4: одноразовые токены
Одноразовые токены могут быть созданы для доступа клиентов, что позволяет им проходить аутентификацию без создания постоянной учетной записи. Каждый токен можно использовать только один раз и после использования он становится недействительным. Вот пример создания одноразового токена с помощью Vault API:

import requests
def generate_single_use_token():
    response = requests.post('https://vault.example.com/v1/auth/token/create', json={"num_uses": 1})
    token = response.json()['auth']['client_token']
    return token

Метод 5: внешние поставщики удостоверений
Интеграция Vault с внешними поставщиками удостоверений, такими как OAuth или SAML, позволяет клиентам проходить аутентификацию, используя существующие учетные записи этих поставщиков. Vault можно настроить так, чтобы он доверял поставщику удостоверений и предоставлял доступ на основе успешной аутентификации. Точная реализация зависит от выбранного поставщика удостоверений.

Хотя Сейф в первую очередь предназначен для аутентификации пользователей, существуют различные методы управления существованием клиентов без необходимости использования традиционных учетных записей пользователей. Используя анонимный доступ, временные токены, аутентификацию JWT, одноразовые токены или интеграцию с внешними поставщиками удостоверений, вы можете предоставить клиентам безопасный и удобный доступ к ресурсам Vault. Выберите метод, который лучше всего соответствует вашим конкретным требованиям и соображениям безопасности.