[VAULT] POC de la solution

[igorrenquin]

Contexte

Différentes problématique liée aux secrets

• Difficile de sealed des secrets avec sealed-secrets
• kubeD
• Gestion des secrets

Comment pourrait-on faire pour gérer plus facilement les secrets dans les produits?

• Limiter la complexité de génération des secrets
• Etre en capacité de faire tourner les secrets
• Sortir les secrets de Kubernetes

L'équipe OPS teste le déploiement de Vault sur un des produits d'infrastructure Action :

• Déployer Vault
• Comment consommer les secrets
• Retour d'utilisation

[revolunet]

https://pad.incubateur.net/rrEvesaoQ3iViWA4Mnw10w?view

[LucasBassoOcto]

Mercredi 29 Novembre, Restitution de Malo

[revolunet]

Notes sur le sujet côté SRE : https://hackmd.io/arqWomYbTZGR1X4g8aqQGA

[igorrenquin]

Notes post présentation 15-12

2 modes de consommation de vault :

• via un injector (en fichier plat ou variable d'env)
• via un mode intégré (le POD va chercher ses secrets lors du démarrage)

Injector

• Compliqué à implémenter et à maintenir car il faut connaitre l'entry point de chaque image docker et on en a beaucoup
  • cas par cas pour l'intégration de la consommation de vault
  • les secrets sont dans des fichiers dans le conteneur
  • si vault KO les nouveaux POD démarrent plus

Intégré

• Dépendance forte à Vault (si vault KO lors du démarrage de POD et des erreurs interviendront lors de la conso du secret)
• Pas certain que l'intégration soit possible de l'intégrer dans certains composants (Keycloak, CNPG, Hasura, Strapi)
• Perte d'universalité des appli (lors de la sortie d'un produit de la fabrique cela demandera de revoir le code applicatif pour sortir du vault)
• Adaptation à trouver pour donner la possibilité de développer off line pour un dev
• Les dev doivent s'approprier l'utilisation de Vault dans le code source
• Efforts variable pour l'intégration de vault dans les produits existants (chaque produit est unique)
• Développement d'un librairie pour simplifier la consommation de Vault dans le code source

Question, cas d'usage

Cas d'usage:

Stockage de tous les secrets dans le Vault Vault positionne les secrets dans kubernetes

Avantages:

• Les secrets ne sont plus dans le code et donc dans les commits
• Plus besoin de sealed-secrets Inconvénients:
• Secrets toujours présents dans kubernetes

Question:

• Comment restreindre l'accès de vault pour ne consommer que les vault de mon produit?

Piste pour la suite

Tester la modification de l'application template pour fonctionner :

• en mode injector

• en mode intégré

• Tester l'utilisation de vault sur:

  • CNPG
  • Keycloak

• @revolunet @malo-octo point présentation de l'application template lundi 18 décembre 11h30

• @revolunet @malo-octo réalisation, modification de l'application template

[gary-van-woerkens]

• [ ] Restitution
• [ ] Exemple de CI basique dans Github, avec conso de variables dans un container kube
• Retex Numspot: secrets dans vault et copier dans kube