Не удалось автоматически распечатать хранилище после восстановления снимка консула

Question

Итак, я настроил архитектуру с помощью Consul / Vault в кластере kubernetes в AWS. Мое хранилище автоматически распечатывается с помощью AWS KMS при запуске модулей.

Недавно я провел некоторое тестирование по резервному копированию хранилища с использованием снимка консула.

Сценарий, который я протестировал:

1. Сначала сделайте снимок снимка консула хранилища и сохраните vault.prod.snap
2. Затем удалите хранилище, используя консоль kv delete -recurse vault /
3. Удаление состояний и наборов хранилища
4. консоль, снимок экрана, восстановление vault.prod.snap
5. Наконец, заново создайте наборы состояний хранилища

Результат:

Я получил ошибку 500 на третьем ключе во время автоматическое распечатывание с надписью: body {«errors»: [«не удалось расшифровать зашифрованные хранимые ключи: cipher: аутентификация сообщения не удалась»]}

Я попробовал еще один тест, в котором я не очищаю хранилище командой kv delete -recurse vault / Я просто удалил пару политик в пользовательском интерфейсе и восстановил. Кажется, что этот сценарий работает правильно, только когда я восстанавливаю «с нуля», мое хранилище больше не может открываться.

Может кто-нибудь дать мне подсказку, пожалуйста?

Answer 1

Я наконец-то исправил проблему через 3 дня

После исправления следующих действий мое хранилище снова можно было распечатать:

1. Дубликаты идентификаторов узлов: https://github.com/hashicorp/consul/issues/4741
2. Консульский сервер должен получить токен ACL с достаточными правами

Для первого выпуска я повторно использовал сценарий ruby и добавил его к консулу. docker изображение для генерации постоянного идентификатора узла для каждого консула.

Что касается второй проблемы, моя политика ACL для агента не давала агенту необходимых разрешений для выполнения необходимых обновлений.