使用Chef和Vault规划备份系统

46次阅读

问题描述

正在计划使用Chef和Vault来备份PostgreSQL数据库。他们已经使用一个密钥（随机二进制字符串）对备份进行了加密，并希望将该密钥存储在Hashicorp Vault中。用户遇到了以下问题：
1. 如何将密钥转换为文件并运行一些脚本？
2. 如何确保备份只在每周运行而不是每次运行Chef Cookbook时运行？
3. 如何从Chef Cookbook中访问Vault中的密钥？

解决方案

请注意以下操作注意版本差异及修改前做好备份。

步骤1：配置Cron任务

首先，我们需要使用Chef来配置Cron任务，以便定期运行备份脚本。在这里，我们将使用consul-template来从Vault中检索密钥。以下是配置Cron任务的步骤：
1. 在Chef Cookbook中创建一个模板文件，用于生成Cron任务配置文件。该文件将包含备份脚本的路径和其他配置。
2. 使用consul-template从Vault中检索密钥，并将其写入Cron任务配置文件中。
3. 使用Chef的模板资源来生成Cron任务配置文件。
4. 使用Chef的cron资源来配置Cron任务。

以下是一个示例Chef Cookbook的代码片段，用于配置Cron任务：

# 安装consul-template
# ...

# 从Vault中检索密钥
execute 'retrieve_secret_from_vault' do
  command 'consul-template -template="/path/to/secret/template.ctmpl:/path/to/secret/file"'
  # 其他配置
end

# 生成Cron任务配置文件
template '/etc/cron.d/backup_cron' do
  source 'backup_cron.erb'
  variables(
    secret_file: '/path/to/secret/file',
    backup_script: '/path/to/backup/script'
  )
  # 其他配置
end

# 配置Cron任务
cron 'backup_cron' do
  action :create
  minute '0'
  hour '0'
  weekday '1'
  command '/path/to/backup/script'
  # 其他配置
end

在上面的示例中，我们首先安装了consul-template，并使用execute资源从Vault中检索密钥。然后，使用template资源生成Cron任务配置文件，并将密钥文件路径和备份脚本路径作为变量传递给模板。最后，使用cron资源配置Cron任务，指定备份脚本的路径和运行时间。

步骤2：设置Cron任务的密钥保护

为了确保Cron任务只在运行时才能访问密钥，我们可以使用Vault的临时令牌功能。以下是设置Cron任务的密钥保护的步骤：
1. 在Chef Cookbook中创建一个脚本，用于生成Vault的临时令牌。
2. 在Cron任务中使用该脚本来获取临时令牌，并在备份脚本中使用该令牌来访问密钥。

以下是一个示例Chef Cookbook的代码片段，用于设置Cron任务的密钥保护：

# 安装Vault CLI
# ...

# 生成Vault的临时令牌
execute 'generate_vault_token' do
  command 'vault token create -policy="backup_policy" -ttl="168h" -format="json" > /path/to/token/file'
  # 其他配置
end

# 配置Cron任务
cron 'backup_cron' do
  action :create
  minute '0'
  hour '0'
  weekday '1'
  command 'VAULT_TOKEN=$(cat /path/to/token/file) /path/to/backup/script'
  # 其他配置
end

在上面的示例中，我们首先安装了Vault CLI，并使用execute资源生成Vault的临时令牌。然后，使用cron资源配置Cron任务，并在命令中使用VAULT_TOKEN环境变量来传递临时令牌，并在备份脚本中使用该令牌来访问密钥。

请注意，上述代码中的backup_policy是一个自定义的Vault策略，用于控制对密钥的访问权限。您需要根据实际情况创建和配置该策略。

步骤3：配置Vault访问权限

为了让Chef Cookbook能够从Vault中检索密钥，您需要为Chef配置Vault的访问权限。以下是配置Vault访问权限的步骤：
1. 在Vault中创建一个新的策略，用于授予Chef Cookbook对密钥的读取权限。
2. 在Chef Cookbook中配置Vault的访问凭据，并使用该凭据从Vault中检索密钥。

以下是一个示例Chef Cookbook的代码片段，用于配置Vault访问权限：

# 安装Vault CLI
# ...

# 配置Vault访问凭据
execute 'configure_vault_credentials' do
  command 'vault login -method="token" -token="your_vault_token"'
  # 其他配置
end

# 从Vault中检索密钥
execute 'retrieve_secret_from_vault' do
  command 'vault read -field="secret_key" secret/path > /path/to/secret/file'
  # 其他配置
end

在上面的示例中，我们首先安装了Vault CLI，并使用execute资源配置Vault的访问凭据。然后，使用execute资源从Vault中检索密钥，并将其写入密钥文件中。

请注意，上述代码中的your_vault_token是您的Vault访问令牌，您需要将其替换为实际的令牌。

总结

通过使用Chef和Vault，您可以轻松地配置一个定期运行的备份系统，并保护备份密钥的安全性。首先，使用Chef配置Cron任务，并使用consul-template从Vault中检索密钥。然后，使用Vault的临时令牌功能来保护Cron任务的密钥访问。最后，配置Vault的访问权限，以便Chef Cookbook能够从Vault中检索密钥。

希望以上解决方案对您有所帮助！如果您有任何其他问题，请随时提问。

正文完