« Rev
@kubernetes_ru   1816
Fwd »


Felix
в отсутствии лишних компонентов, можно не в открытом
ну декриптинг на лету как по мне стоит этого несчасного лишнего сервиса. все равно на общем количестве не особо скажется
inqfen
Вот поднял ты кластер куба, получил токен от админа
inqfen
Ну kubeconfig вообще
inqfen
Он часть твоей текущей конфигурации?
inqfen
да только terraform provider нету под него ) вообще я думал написать свой)
Зачем пытаться терраформ на все натянуть?
Felix
конфиги тоже инфраструктура
значит мы говорим о разных вещах. в волт мы стараемся выносить именно секретные данные, либо что то что позволит на лету изменить поведение сервиса. вещи вроде колва реплик, или адресов ресурслв и тд. лежат в вельюзах с чартом
inqfen
Я пример с kubeconfig привёл
inqfen
Он часть инфраструктуры и он секретный
Roman
для bitwarden?
ну да)
Andor
значит мы говорим о разных вещах. в волт мы стараемся выносить именно секретные данные, либо что то что позволит на лету изменить поведение сервиса. вещи вроде колва реплик, или адресов ресурслв и тд. лежат в вельюзах с чартом
первое (типа сикретной строки которой хешируются пароли) не меняется на ходу никогда, это статичный сикрет, генерируется один раз при создании приложения второе - проще через переменные окружения и гит, это вообще не сикреты
Roman
секреты*
Felix
первое (типа сикретной строки которой хешируются пароли) не меняется на ходу никогда, это статичный сикрет, генерируется один раз при создании приложения второе - проще через переменные окружения и гит, это вообще не сикреты
ага. очень удобно. особенно если хочеш ротацию настроить именять часть секретов каждые два часа) и для автоматизации в целом гит апи это просто топчик) тут каждому свое. я уже как мог донести свою точку зрения так и донес. раз не резонирует тогда не твое. кто то вон и на железе без куберов все держит и руками скалирует и им тоже норм.
Felix
В волте еще лог доступа есть к секретам
да, и есть возможность откатывать версию секретов
Andor
ну и как бы CI/CD и вперёд
Andor
это всё ещё проще чем волт
Andor
и всё равно оно у тебя есть
Felix
ну и как бы CI/CD и вперёд
та бред. городить велосипеды вместо использования полфильного софта. который в том числе активно в ентерпрайсе используется. кому то очень нравится делать ненужную работу по ходу
Roman
зачем manage'ить секреты руками )?
Andor
волт и есть ненужная работа
Andor
зачем manage'ить секреты руками )?
а и не надо, сделай оператора
Roman
какого оператора
Roman
у меня во есть AWS ECS например и все
Roman
где мне хранить секреты
Roman
они никогда не должны быть в репо ни в зашифрованном виде не в открытом
Andor
ну у тебя в eks наверное есть вся нужная обвязка для использования сикретов из авс
Roman
ну вот нету eks не такие богатые ))
Roman
что бы 120 баксов на ветер за мастер кидать
Roman
если про зашифрованый вид то менеджить их муторно
Andor
ну в не-екс всё то же самое тоже можно запустить, наверное
Roman
очень не проще я это делал
Roman
это сущий ад
Roman
делал с docker swarm
Roman
самое что не простое это поддерживать vault кластер
Roman
поэтому я за SAAS решение - aws secret manager например - у терраформа есть data source для него
Roman
пошел вписал че надо и все
Roman
запустил террааформ и пошло )
Felix
так мне кто то может пояснить в чем вообще сложности с волтом? ротация токенов? плюс один сервис перед кв? или что?
Roman
ни тебе encrypt ни тебе decrypt
Roman
мне волт это гемор на три дня сетапить кластер лишний гдето там
Andor
так мне кто то может пояснить в чем вообще сложности с волтом? ротация токенов? плюс один сервис перед кв? или что?
ты его и его конфигурацию сам менеджишь или для этого есть специально обученые люди?
Roman
хрен знает где
Roman
или у вас у всех волт стоит на одном инстансе?
Andor
по твоему описанию выглядит что ты его используешь как kv, а не как менеджер сикретов
Roman
тогда о ci/cd в любое время можно забыть
Andor
сам
любишь hcl?
Felix
по твоему описанию выглядит что ты его используешь как kv, а не как менеджер сикретов
да, сейчас в основном так и используем. их конфиг файлы игнорирую чесно говоря, не зашло. благо все продукты так же работают с jsonом
Roman
а чего нет ротации токенов у вас?
Andor
cto, и ceo
два человека?
Felix
а чего нет ротации токенов у вас?
пока руки не дошли настроить
Roman
Roman
)) шутка
Andor
для менеджмента волта нужен отдел безопасников, чтобы это всё было их головной болью вот только они для этого должны быть из 2019-го, таких в мире штук 10 наверное
Felix
два человека?
да. за 7 месяцев было только 2 плановые перезагрузки волта когда нужен был ансил. падений ни одного. плюс поставить воркера который по хелзчекам ансилит или купить ентерпрай вроде не проблема
Andor
autounseal в опенсорсе уже с год, я правда не знаю как оно работает
Roman
у вас кластер волта?
Felix
ну а права доступа в волт ты конфигуришь через json? там разве есть такая возможность?
нет права нельзя json, там да. но мы обошлисб созданием 14 политик. и на токены применяем политики. это не сложно
Andor
любой из этих двоих может распечатать волт, верно?
Felix
а должно быть сколько по документации, кстати?
нет, перезагрузки были не конкретно для волта, в основном или апали пакеты на железе или перезагружали все сервисы на тачке, и волт просто в перемешку шел. конкретно волт перезапускали только что бы спулить новый образ и все
Vadim
Идите уже в хашикорповский чатик, а то устроили тут фиесту вендорлока
Felix
любой из этих двоих может распечатать волт, верно?
нет ключи дополняют друг друга. нужен и первый и второй
Andor
нет ключи дополняют друг друга. нужен и первый и второй
то есть если один из этих двоих встретится с автобусом на полной скорости то волту крышка?
Roman
дайте ка ссылка на hcl чатик )
Roman
ссылочку на чатик hcl подкиньте плз спать охота
Roman
:DD
« Rev
@kubernetes_ru   1816
Fwd »