Помогаю компаниям перестать хранить пароли, токены и ключи прямо в коде и конфигурационных файлах. Разворачиваю HashiCorp Vault как отдельный защищённый контур: сначала разбираюсь, какие секреты уже используются и где именно они разбросаны, а затем собираю кластер с устойчивым хранилищем, автоматическим снятием печати, отказоустойчивостью и полным журналом обращений. После этого у вас есть одно место, куда обращаются и люди, и сервисы, и по каждому обращению видно, кто и когда его сделал.
Дальше подключаю то, ради чего Vault и берут. Настраиваю динамические секреты: базы данных и облачные учётки выдаются на короткий срок и сами протухают, поэтому украсть нечего. Включаю шифрование как сервис через transit, выстраиваю иерархию PKI для выпуска и обновления TLS-сертификатов и подбираю методы входа под вашу инфраструктуру — AppRole для сервисов, Kubernetes, OIDC для людей или облачный IAM. Права раздаю по минимуму: каждый видит ровно свой набор путей и ни строчкой больше, а политики оформляю так, чтобы их было легко читать и проверять.
Завершаю всё интеграцией с приложениями и конвейерами сборки, чтобы для разработчиков ничего не усложнилось, а безопасность стала прозрачной. Встраиваю агенты и вызовы через SDK, аккуратно переношу текущие секреты без простоя, настраиваю регулярную ротацию и отдаю понятную документацию с инструкциями на случай перезапуска и восстановления. Провожу обучение команды, чтобы дальше вы обходились без меня.
— Кластер Vault, отказоустойчивость и авто-unseal
— Динамические секреты, transit и выпуск сертификатов
— Методы входа, политики доступа и интеграция
Дальше подключаю то, ради чего Vault и берут. Настраиваю динамические секреты: базы данных и облачные учётки выдаются на короткий срок и сами протухают, поэтому украсть нечего. Включаю шифрование как сервис через transit, выстраиваю иерархию PKI для выпуска и обновления TLS-сертификатов и подбираю методы входа под вашу инфраструктуру — AppRole для сервисов, Kubernetes, OIDC для людей или облачный IAM. Права раздаю по минимуму: каждый видит ровно свой набор путей и ни строчкой больше, а политики оформляю так, чтобы их было легко читать и проверять.
Завершаю всё интеграцией с приложениями и конвейерами сборки, чтобы для разработчиков ничего не усложнилось, а безопасность стала прозрачной. Встраиваю агенты и вызовы через SDK, аккуратно переношу текущие секреты без простоя, настраиваю регулярную ротацию и отдаю понятную документацию с инструкциями на случай перезапуска и восстановления. Провожу обучение команды, чтобы дальше вы обходились без меня.
— Кластер Vault, отказоустойчивость и авто-unseal
— Динамические секреты, transit и выпуск сертификатов
— Методы входа, политики доступа и интеграция
