Hashicorp Vault производство закалки. «Запустить голое железо» против «отключить удаленный доступ»

Question

В настоящее время я играю с Хранилищем Хашикорпа, но это, вероятно, вопрос с более общими последствиями для безопасности.

Я читал рекомендации по Производственному усилению для хранилища здесь для некоторых указателей.

Несмотря на то, что совет имеет смысл, взятый индивидуально, было несколько элементов, которые, кажется, противоречат друг другу. Я не уверен, как бы я реализовал все это в производстве.

Два момента, с которыми я борюсь, это предложение «Отключить SSH / Удаленный рабочий стол» и то, что «работа на голом железе должна быть предпочтительнее виртуальной машины».

Мне кажется, что развертывание экземпляра на чистой машине и последующее отключение удаленного доступа (я предполагаю, что если мы не поддерживаем ssh, то технологии внешнего управления, такие как IPMI, также должны быть недоступны) эффективно делают хост неуправляемый без физического доступа? Это даже достижимо для облачных развертываний?

Мой анализ правилен или я что-то упустил? Как мне выбрать, что мне следует реализовать, если я не могу сделать и то и другое?

Спасибо!

Answer 1

Вы не можете делать и то и другое одновременно, поэтому ваша борьба верна.

В идеальном мире вы должны создавать образы с хранилищем, а затем использовать их для запуска кластера. Затем вы можете отключить ssh / удаленный доступ, чтобы сервер, на котором запущен Vault, находился в очень четко определенном состоянии (т. Е. Выполнял ту же процедуру, что и шаблон образа, и никто не вошел в него, что может привести к ручным изменениям).

Как мне выбрать, что мне следует реализовать, если я не могу сделать и то и другое?

Если вы находитесь в облаке, забудьте о голых металлах и отправляйтесь с виртуальными машинами. Если вы не находитесь в облаке и можете настроить размер своей виртуальной машины, вы можете использовать «голое железо» (например, наш текущий размер сервера составляет 128 ГБ ОЗУ, что является пустой тратой только для одного экземпляра Vault, и нам нужно 3 из них для HA) .