《2021 系列研討會 DevOpsDays 》11/24 | HashiCorp Vault x Kubernetes – 如何在零信任環境下提高 Kubernetes 的安全性

2025 年 4 月，CA/Browser Forum 通過了 Apple 蘋果公司提出的提案，計畫將 SSL/TLS 憑證的有效期從目前的 398 天逐步縮短至 2029 年的 47 天，並要求每月更新。

這項變革旨在提升網路安全，但對仍依賴人工管理憑證的企業來說，可能增加管理負擔。

我們提供了一個方案：採用 HashiCorp Vault推動自動化 SSL/TLS 憑證自動化管理。

以下將介紹原始 SSL/TLS 提案背景、目的、時程，並說明 HashiCorp Vault 如何幫助企業應對挑戰。

Anaplan 使用 Vault 減少管理機密的時間，機密和配置管理儲存到單一的機密管理平台，提高營運效率，不僅減少手動機密管理和網路服務的時間，也減少了設置、管理和監控第三方儲存系統的必要性，節省多達 30% 的實例成本、資本支出和時間成本。

透過 Vault，企業資安團隊建置了一套中央控管的密鑰管理資料庫，消除了人為將密鑰政策應用在新的應用系統和主機中的流程。這個獨立於雲外的架構，透過將許多耗時且費工的程序自動化後，大幅的簡化了分享憑證和密鑰管理的過程。「Vault 的動態密鑰以及 API 加密能力，搭配上他的密鑰植入以及通訊保全的功能，讓我們可以很有信心的把應用系統上到容器系統中，但是卻只用了以前的幾分之一的時間」，Van Dijk 說：「我們現在可以不用加人加成本或加額外的學習曲線之下，在 AWS 和 Azure 中管理臨時性的密鑰」。

這個半天的體驗營課程主要為Docker初學者所開設，重點介紹如何使用Docker建立或修 改系統映像檔（Docker Images），製作屬於合適自己的應用映像檔，且執行佈署至Docker本機或CaaS平臺。

企業能夠使用Swarm或完全符合Kubernetes規範來部署應用程式，並且保持用戶一如以往對於從Docker獲得開發人員至IT運維自動化工作流程兼具安全性的軟體交付作業流程之熱切期望，特別是在使用帶有Kubernetes整合支持的最新版 Docker for Mac。

「有了 Vault，我們每天就可以花以前零頭的時間，透過幾十個完整的命名空間，自動產生成千上萬個安控授權令牌」，他說：「以往手動將密碼及密鑰複製貼上到另一個系統的做法，對管理全企業的密鑰來說，實在是曠日廢時。透過Vault，我們終於可以高枕無憂了。」

Q2 的 Nomad 環境利用 Consul 和 Vault 整合動態檢索機密，運用令牌身份驗證方法，以及使用 Vault 的動態憑證。也探討模板化、在堆棧之間重新使用容器映像，並介紹在地端運行 Nomad 的最佳實踐。最後，本文將介紹他們使用現代化方法在傳統 VMware 資料中心環境中管理 VM。

Vault 靈活的機密管理和 API 加密功能，再加上其機密導入 (secrets injector) 和安全通訊，讓荷銀可以像以前一樣輕鬆將應用程式加載到容器平台上。透過 Vault，建立了一個統一的機密管理資源庫，並且無需人工將機密政策手動應用於新應用程式和主機。

透過 Elastic Stack 產品的高度整合，能提供 Elastic Observability 完整的服務。包含，Observability 三本柱，Metrics、Logs、Traces，為不良行為進行檢測，與提供維運人員提供詳細的資訊，快速有效的調整問題。

HashiCorp Vault 解決方案消除手動機密管理和基礎架構編排經常導致的中斷和延遲，讓 Ubisoft 提高了服務品質，也能跨多個雲平台的自動機密輪換，降低手動管理機密的成本。現今線上遊戲對安全管理的要求十分講究，Vault 的便利性和高可用性成為了 Ubisoft 的解決方案首選。

在本次研討會中，HashiCorp 資深解決方案工程師，將帶您探討基礎架構即程式碼的魅力，實現雲端基礎架構營運自動化。

ECK 是 Elastic Cloud on Kubernetes 的縮寫，有了它，就能在 Kubernetes 環境快速完成下列的常見工作：管理和監控多個群集、安全地執行設定調整以完成滾動升級、橫向延展群集的資源和空間、設定群集的 TLS 憑證、設定「熱-暖-冷」資料節點的架構

Mirantis 已經確認大部分產品都沒有受到該漏洞的影響，少數有問題的部分嚴重程度也較低。想要評估工作負載軟體是否受到影響的用戶可以使用 Mirantis Secure Registry (MSR)。Mirantis 已更新 MSR 中的漏洞資料庫以掃描 Log4j 漏洞 CVE-2021-44228。

Bell Canada 的 SOC 開始使用 Elastic Stack 來加強其 ArcSight SIEM，可以自動處理高日誌量和高峰值。除了搜尋與分析資料之外， ELK 還能用角色型存取控制 (RBAC) 來保護安全。也使用使用 ArcSight SIEM 進行事件聚合和關聯，減少誤報的比率

HashiCorp Vault 與 Spring Boot 和 Spring Cloud Config 一起使用，幫助 Xfinity 降低了對啟動器依賴性，給他們一個「vault 啟動器」便能讓整個企業的作業自動連接，資源庫在啟動時能獲取密鑰，鞏固安全性。