Posso usare HashiCorp Vault per limitare l'accesso alle credenziali in base agli intervalli CIDR?

1

Questo sembra un caso d'uso piuttosto semplice, ma dipenderà da alcuni aggiunti recentemente funzionalità che potrei non capire ancora:

Uno script python viene popolato dalla gestione della configurazione su alcuni server di monitoraggio all'interno di un intervallo IP specifico.

def main():
    args = get_args()
    user, password = args.redis_credentials
    ... store creds in a local file owned by root, do stuff with this...

Dovrebbe cambiare in questo:

def main():
    args = get_args()
    vault_token = args.approle_token_for_vault
    user, password = get_creds_from_vault(token=vault_token, path="/secrets/redis/redis_credentials")
    ... store creds in a local file owned by root, do stuff with this...

Questo script richiede un'autorizzazione utente / passaggio a un archivio dati.

Diciamo che tutto ciò che è passato allo script entra in un file (ad esempio un token di accesso), condiviso su un mucchio di macchine. Il provisioning è imprevedibile, tranne che per una specifica sottorete o intervallo di indirizzi IP.

Ad ogni modo, posso usare Vault per limitare l'accesso a queste credenziali condivise sulla base di un qualche tipo di identificatore di rete come l'indirizzo MAC o l'indirizzo IP?

Yes, I know, IP address restrictions are a "defense in depth" approach, and IP addresses can be spoofed. But the idea is to quickly make an incremental improvement to the existing security situation.

    
posta Nathan Basanese 03.05.2018 - 20:01
fonte

1 risposta

0

Risulta che, a partire dalla versione 0.6.4 della versione open source di HashiCorp Vault, posso limitare l'accesso alle AppRole basate sugli intervalli CIDR, sebbene non sia stato possibile farlo con gli altri metodi di autenticazione, come è successo.

Le versioni successive di HashiCorp Vault hanno aggiunto la capacità di associazione del range CIDR a un numero sempre maggiore di metodi di autenticazione. HashiCorp ha aggiunto la possibilità non solo di legare i metodi di Vault Auth agli intervalli CIDR, ma anche di associare tutti i token di Vault prodotti agli intervalli CIDR configurabili.

Quando la funzione era abilitata:

link

Dove avviene la magia:

link

Che cos'è un CIDR?

CIDR (Classless Inter-Domain Routing, sometimes called supernetting) is a way to allow more flexible allocation of Internet Protocol (IP) addresses than was possible with the original system of IP address classes.
A CIDR network address looks like this under IPv4: 192.30.250.00/18
Because it's just a bitwise way to specify IP address ranges, 192.30.250.00/18 would correspond to the IP address range of 192.30.192.0 to 192.30.255.255.

Link sui CIDR

link
link

    
risposta data 10.01.2019 - 18:49
fonte