Комментарии 7
При переносе Secret Engines "PKI Certificates", что произойдёт в случае наличия объекта RootCA с неэкспортируемым приватным ключём?
@MaxMorar политики, indentity и настройки IDP предполагается переносить руками?
Немного странно в 2024г подключаться к Vault по http )
А если говорить про https - кастомные сертифкаты поддерживаются? А валидируются? Как передать CA для src и для dst?
Чем не устроила, например, https://github.com/jonasvinther/medusa для миграции данных, через api?
Или встроенный функционал по миграции бэкендов https://developer.hashicorp.com/vault/docs/commands/operator/migrate ?
Скриншоты сделаны на одном из dev-стендов, на котором проводили первые тесты с использованием http. https поддерживается.
Поддержка сертификатов реализована средствами hvac. Раньше CA можно было подкидывать только через CLI, в последнем релизе добавили соответствующее поле в веб-интерфейс.
Про встроенную функциональность по миграции бэкендов: в этом случае необходимо сначала выполнить миграцию данных между Vault, а потом дополнительно выполнить миграцию бэкенда на конечном Vault. Тут невозможен точечный перенос необходимых секретов, да и по времени выходит дольше.
CLI утилита на го, удобно для переноса секретов, и просто как клиент для волта без бинаря самого волта.
Господин сенатор, шаттл подан: как мы переносим тысячи секретов в StarVault за секунды