ExamsLabs Vault-Associate 시험 문제 실제 Vault-Associate 연습 문제 [Q32-Q52]

셸 기록에 비밀이 나타나지 않아야 한다는 보안 요구 사항을 충족하지 않는 명령은 B. vault kv put secret/password value-itsasecret입니다. 이 명령은 키/값 비밀 엔진의 비밀 값 "itsasecret"을 비밀/비밀번호 경로에 저장하지만 셸 기록에 비밀 값이 노출되어 다른 사용자나 악의적인 공격자가 액세스할 수 있습니다. 이는 Vault에 비밀을 저장하는 안전한 방법이 아닙니다.
다른 명령은 셸 기록에 비밀을 노출하지 않고 Vault에 비밀을 저장하는 더 안전한 방법입니다.
생성-비밀번호 | vault kv put secret/password 값은 파이프를 사용해 스크립트 또는 임의의 비밀번호를 생성하는 도구일 수 있는 생성-비밀번호 명령의 출력을 비밀/비밀번호 경로에 있는 키/값 비밀 엔진에 비밀번호를 저장하는 vault kv put 명령으로 전달합니다. 셸 기록에는 비밀번호가 표시되지 않고 명령만 표시됩니다.
C). vault kv put secret/password [email protected] 는 @ 구문을 사용하여 파일 권한으로 암호화하거나 보호할 수 있는 data.txt라는 파일에서 비밀 값을 읽고 비밀/암호 경로의 키/값 비밀 엔진에 비밀/암호로 저장합니다. 파일 이름은 셸 기록에 표시되지만 비밀 값은 표시되지 않습니다.
D). vault kv put secret/password value-SSECRET_VALUE는 -S 구문을 사용하여 셸 세션에서 설정하거나 설정 해제할 수 있는 환경 변수 SECRET_VALUE에서 비밀 값을 읽고 비밀/비밀번호 경로에 있는 키/값 비밀 엔진에 이를 저장합니다. 환경 변수 이름은 셸 기록에 표시되지만 비밀 값은 표시되지 않습니다.
참조:
[비밀 쓰기 | 금고 | 해시코프 개발자]

동적 비밀은 Vault에서 온디맨드 방식으로 생성되며 TTL(유효 기간)이 제한되어 있습니다. 동적 비밀번호는 암호화되고 일시적인 경우가 많기 때문에 관리자가 사용된 모든 비밀번호를 볼 수 있는 것은 아닙니다. 동적 비밀의 장점은 다음과 같습니다:
데이터베이스, 클라우드 공급자, SSH 등과 같이 기본적으로 자격증명 만료 방법을 제공하지 않는 시스템을 지원합니다. Vault는 더 이상 필요하지 않거나 임대가 만료되면 자격 증명을 해지할 수 있습니다.
인증정보는 수명이 짧고 쉽게 교체하거나 해지할 수 있으므로 인증정보 유출로 인한 피해를 최소화할 수 있습니다. 인증정보가 유출되면 공격자는 인증정보가 무효화되기 전에 사용할 수 있는 기회가 제한됩니다.
Vault는 자격 증명의 생성 및 해지를 자동으로 안전하게 처리할 수 있으므로 번거로운 비밀번호 교체 도구와 관행을 대체합니다. 따라서 운영 오버헤드와 비밀 관리의 복잡성이 줄어듭니다.

Vault에 존재하는 세 가지 정책은 다음과 같습니다:
관리자로 변경합니다: 이 정책은 Vault의 모든 비밀과 작업에 대한 전체 액세스 권한을 부여합니다. Vault의 모든 측면을 관리해야 하는 관리자나 운영자가 사용할 수 있습니다.
기본값입니다: 이 정책은 특정 정책이 필요한 경우를 제외하고 Vault의 모든 비밀과 작업에 대한 액세스를 허용합니다. 다른 정책이 일치하지 않을 때 폴백 정책으로 사용할 수 있습니다.
전송: 이 정책은 전송 중인 데이터의 암호화 기능을 처리하는 전송 시크릿 엔진에만 액세스를 허용합니다. Vault를 사용하여 데이터를 암호화하거나 암호 해독해야 하는 애플리케이션이나 서비스에서 사용할 수 있습니다.
이러한 정책을 통해 조직은 다음과 같은 유용한 작업을 수행할 수 있습니다:
전송 엔진을 사용한 데이터 암호화, 암호 해독, 재래핑을 하나의 정책에서 모두 처리할 수 있습니다: 이 정책은 전송 시크릿 엔진과 기본 정책 모두에 대한 액세스 권한을 부여하여 Vault의 모든 시크릿에 대해 모든 작업을 수행할 수 있도록 합니다.
암호화된 데이터를 암호화, 암호 해독 및 다시 래핑하기 위한 전송 암호화 키 만들기: 이 정책은 256비트 AES 키 또는 기타 지원되는 키 유형으로 AES-GCM을 사용하여 전송 중인 데이터를 암호화 및 해독하는 데 사용되는 전송 비밀 엔진 및 관련 키에만 액세스 권한을 부여합니다.
전송 비밀 엔진과 관련된 작업에 허용되는 권한 분리: 이 정책은 키 생성이나 요청 래핑과 같이 전송 비밀 엔진과 관련된 특정 작업에 대해서만 액세스를 허용합니다. Vault의 다른 작업이나 비밀에 대한 액세스 권한은 부여하지 않습니다.

ID 그룹은 몇 가지 공통 속성을 공유하는 엔티티의 모음입니다. ID 그룹에는 하나 이상의 정책이 첨부될 수 있으며, 이 정책은 그룹의 모든 구성원에게 상속됩니다. 또한 ID 그룹에는 하위 그룹이 있을 수 있으며, 이 하위 그룹은 엔터티의 하위 집합에 대한 정책 및 속성을 더욱 세분화할 수 있습니다.
ID 그룹의 사용 사례 중 하나는 여러 엔터티에 동일한 정책 집합을 일관되게 적용하는 것입니다. 예를 들어 한 조직에 엔지니어링, 영업, 마케팅 등 여러 팀이나 부서가 있을 수 있습니다. 각 팀에는 업무와 관련된 비밀 및 리소스에 대한 액세스 권한을 부여하는 정책이 포함된 자체 ID 그룹이 있을 수 있습니다. 각 팀에 대한 ID 그룹을 만들면 조직은 각 팀에 속한 엔티티가 Vault에 로그인하는 데 사용하는 인증 방법에 관계없이 동일한 수준의 액세스 권한과 권한을 갖도록 할 수 있습니다. 참조: ID: 엔티티 및 그룹 | Vault | 해시코프 개발자, vault_identity_group | 리소스 | 해시코프/볼트 | 테라폼 | 테라폼 레지스트리

통합 스토리지는 Vault가 외부 스토리지 시스템에 의존하지 않고 내부에 데이터를 저장할 수 있는 Raft 기반 스토리지 백엔드입니다. 또한 자동 리더 선출 및 페일오버를 통해 Vault를 고가용성 모드로 실행할 수 있습니다. 하지만 통합 스토리지는 하드웨어 장애, 네트워크 파티션 또는 인적 오류로 인한 데이터 손실이나 손상으로부터 자유롭지 않습니다. 따라서 스냅샷 기능을 사용해 주기적으로 또는 필요에 따라 Vault 데이터를 백업하고 복원하는 것이 좋습니다. 스냅샷은 암호화된 비밀, 구성, 메타데이터를 포함한 전체 Vault 데이터의 특정 시점을 캡처한 것입니다. 스냅샷은 볼트 운영자 래프트 스냅샷 명령 또는 sys/storage/raft/snapshot API 엔드포인트를 사용해 생성하고 복원할 수 있습니다. 스냅샷은 암호화되며 봉인 해제 키 또는 복구 키의 정족수가 있어야만 복원할 수 있습니다. 또한 스냅샷은 이식성이 있으며, 다른 Vault 클러스터나 스토리지 백엔드 간에 데이터를 마이그레이션하는 데 사용할 수 있습니다. 참조: https://developer.hashicorp.com/vault/docs/concepts/integrated-storage1, https://developer.hashicorp.com/vault/docs/commands/operator/raft/snapshot2, https://developer.hashicorp.com/vault/api-docs/system/storage/raft/snapshot3

이 문장은 사실입니다. 인증 방법이 비활성화되면 해당 방법을 통해 인증된 모든 사용자는 액세스 권한을 잃게 됩니다. 이는 인증 방법이 비활성화되면 인증 방법으로 발급된 토큰이 자동으로 해지되기 때문입니다. 따라서 사용자는 해지된 토큰을 사용하여 Vault에서 어떤 작업도 수행할 수 없습니다. 다시 액세스하려면 사용자가 활성화되어 있고 적절한 정책이 첨부된 다른 인증 방법을 사용하여 다시 인증해야 합니다. 참조: 인증 방법 | Vault | 해시코프 개발자, 인증 비활성화 - 명령어 | Vault | 해시코프 개발자

자체 내부 인증 기관을 구축하는 데 사용할 수 있는 Vault 비밀 엔진은 PKI 비밀 엔진입니다. PKI 비밀 엔진은 개인 키 및 CSR을 생성하고, CA에 제출하고, 확인 및 서명을 기다리는 수동 프로세스 없이 주문형 동적 X.509 인증서를 생성합니다. PKI 비밀 엔진은 루트 CA 또는 중간 CA 역할을 할 수 있으며 TLS, 코드 서명, 이메일 암호화 등 다양한 용도로 인증서를 발급할 수 있습니다. 또한 PKI 비밀 엔진은 순환, 해지, 갱신 및 CRL 생성과 같은 인증서 수명 주기를 관리할 수 있습니다. 또한 PKI 비밀 엔진은 Venafi 또는 Entrust와 같은 외부 CA와 통합하여 인증서 발급 및 관리를 위임할 수 있습니다. 참조: PKI - 비밀 엔진 | Vault | 해시코프 개발자, 나만의 인증 기관(CA) 구축하기 | Vault - 해시코프 배우기

정책 코드에 잘못된 기능인 "쓰기"가 포함되어 있기 때문에 오류가 발생했습니다. 정책의 유효한 기능은 '만들기', '읽기', '업데이트', '삭제', '목록', 'sudo'입니다. '쓰기' 기능은 Vault에서 인식되지 않으므로 새 비밀을 만들거나 기존 비밀을 덮어쓸 수 있는 '만들기'로 대체해야 합니다. 와일드카드(*)와 sudo 기능은 모두 정책에서 유효하므로 다른 문장은 올바르지 않습니다. 와일드카드는 경로 세그먼트 내에서 원하는 수의 문자와 일치하며, sudo 기능을 사용하면 루트 권한이 필요한 특정 작업을 수행할 수 있습니다.
참조:
[정책 구문 | 금고 | 해시코프 개발자]
[정책 구문 | 금고 | 해시코프 개발자]

이 파일에는 단일 키인 '일반 텍스트'와 암호화할 데이터의 base64로 인코딩된 문자열인 값이 포함된 JSON 개체가 포함되어 있습니다. 이는 Vault API가 전송 암호화 엔드포인트1에 대해 기대하는 형식입니다. 다른 파일은 잘못된 키 이름, 잘못된 값 형식 또는 잘못된 JSON 구문을 가지고 있기 때문에 올바르지 않습니다.
참조:
데이터 암호화 - 트랜짓 시크릿 엔진 | Vault | 해시코프 개발자

이 스크린샷은 GUI에서 인증 방법을 활성화할 때 표시되는 화면입니다. 인증 방법은 사용자와 애플리케이션이 Vault를 인증하는 방식입니다. Vault는 사용자 이름과 비밀번호, GitHub 등 다양한 인증 방법을 지원합니다. 세 가지 범주로 구분된 옵션 그리드에서 하나 이상의 인증 방법을 활성화할 수 있습니다: 일반, 클라우드, 인프라. 각 옵션에는 이름, 설명, 로고가 있습니다. Vault CLI 또는 API를 사용하여 인증 방법을 활성화할 수도 있습니다.
정책, 인증 엔진, 비밀 엔진을 활성화하는 것은 이 스크린샷과 관련이 없는 다른 작업입니다. 정책은 비밀, 인증 방법, 감사 장치와 같은 Vault 리소스에 대한 액세스를 관리하는 규칙입니다. 인증 엔진은 인증을 수행하고 인증된 엔터티에 정책을 할당하는 Vault의 구성 요소입니다. 시크릿 엔진은 데이터를 저장, 생성 또는 암호화하는 Vault의 구성 요소입니다. 이러한 작업에는 스크린샷과 다른 GUI 페이지와 옵션이 있습니다.
참조:
[인증 | 금고 | 해시코프 개발자]
[정책 | 금고 | 해시코프 개발자]
[인증 | 금고 | 해시코프 개발자]
[시크릿 엔진 | 볼트 | 해시코프 개발자]

Vault Agent는 다음과 같은 기능을 제공하는 클라이언트 데몬입니다:
자동 인증 - Vault에 자동으로 인증하고 로컬에서 검색한 동적 비밀에 대한 토큰 갱신 프로세스를 관리합니다.
API 프록시 - Vault 에이전트가 선택적으로 자동 인증 토큰을 사용(또는 강제로 사용)하여 Vault API의 프록시 역할을 하도록 허용합니다.
캐싱 - 새로 만든 토큰이 포함된 응답과 새로 만든 토큰에서 생성된 임대된 비밀이 포함된 응답을 클라이언트 측에서 캐싱할 수 있습니다. 에이전트는 또한 캐시된 토큰 및 임대의 갱신을 관리합니다.
템플릿 - 자동 인증 단계에서 생성된 토큰을 사용하여 Vault 에이전트가 사용자가 제공한 템플릿을 렌더링할 수 있습니다.
프로세스 감독자 모드 - Vault 비밀을 환경 변수로 주입한 자식 프로세스를 실행합니다.
Vault 에이전트 사용의 장점 중 하나는 캐시된 토큰과 임대의 수명 주기를 자동으로 관리한다는 것입니다. 즉, 에이전트가 토큰 갱신 및 해지 로직은 물론 에이전트가 캐시한 비밀에 대한 임대 갱신 및 해지 로직을 처리합니다. 이렇게 하면 애플리케이션 개발자와 운영자의 부담이 줄어들고 토큰과 비밀이 항상 유효하고 최신 상태로 유지됩니다. 참조: 볼트 에이전트 | 볼트 | 해시코프 개발자, 캐싱 - 볼트 에이전트 | 볼트 | 해시코프 개발자

Vault 봉인 구성은 Vault 구성 파일 또는 환경 변수를 통해 두 가지 방법으로 설정할 수 있습니다. Vault 구성 파일은 스토리지 백엔드, 리스너, 원격 분석, 봉인 등 Vault의 설정과 옵션이 포함된 텍스트 파일입니다. 구성 파일의 봉인 절은 봉인 유형과 루트 키 암호화 및 암호 해독을 위해 HSM 또는 Cloud KMS 솔루션을 사용하는 등 추가 데이터 보호에 사용할 매개변수를 지정합니다. 봉인 구성은 환경 변수를 통해서도 설정할 수 있으며, 이 환경 변수는 구성 파일의 값보다 우선적으로 적용됩니다. 환경 변수 앞에는 VAULT_SEAL_이 붙고 그 뒤에 씰 유형과 매개변수 이름이 붙습니다. 예를 들어 VAULT_SEAL_AWSKMS_REGION은 AWS KMS 씰의 리전을 설정합니다. 참조: 씰 - 구성 | Vault | 해시코프 개발자, 환경 변수 | Vault | 해시코프 개발자

Vault 토큰 상세 정보를 볼 때 정책 키는 토큰이 액세스할 수 있는 경로를 찾는 데 도움이 됩니다. 정책은 Vault의 특정 경로와 작업에 대한 액세스를 허용하거나 금지하는 선언적 방법입니다. 정책은 HCL 또는 JSON으로 작성되며 토큰에 이름으로 첨부됩니다. 정책은 기본적으로 거부되므로 빈 정책은 시스템에서 어떠한 권한도 부여하지 않습니다. 토큰에는 하나 이상의 정책이 연결될 수 있으며, 유효한 정책은 모든 개별 정책을 합친 것입니다. 볼트 토큰 조회 명령 또는 auth/token/lookup API 엔드포인트를 사용하여 토큰 상세 정보를 볼 수 있습니다. 출력에는 토큰에 첨부된 정책 이름 목록과 함께 정책 키가 표시됩니다. 볼트 정책 읽기 명령 또는 sys/policy API 엔드포인트를 사용하여 정책의 내용을 볼 수도 있습니다. 출력에는 정책의 HCL 또는 JSON 표현과 함께 규칙 키가 표시됩니다. 규칙은 정책에서 허용하거나 거부하는 경로와 기능(예: 만들기, 읽기, 업데이트, 삭제, 목록 등)을 지정합니다. 참조: https://developer.hashicorp.com/vault/docs/concepts/policies4, https://developer.hashicorp.com/vault/docs/commands/token/lookup5, https://developer.hashicorp.com/vault/api-docs/auth/token#lookup-a-token6, https://developer.hashicorp.com/vault/docs/commands/policy/read7, https://developer.hashicorp.com/vault/api-docs/system/policy8

배치 토큰은 Vault의 스토리지 백엔드에 유지되지는 않지만 Vault 작업을 수행하기에 충분한 정보를 담고 있는 암호화된 블롭입니다. 배치 토큰은 매우 가볍고 확장성이 뛰어나며 토큰 생성 처리량을 개선할 수 있습니다. 배치 토큰은 컨테이너나 서버리스 기능처럼 수명이 짧고 갱신할 수 없는 토큰이 필요한 대용량 및 임시 워크로드에 적합합니다. 배치 토큰은 볼트 토큰 만들기 명령에서 -type=batch 플래그를 사용하거나 인증 방법의 역할 또는 마운트 옵션에서 token_type 매개변수를 구성하여 만들 수 있습니다. 배치 토큰은 갱신, 해지, 목록, 접근자 및 큐비홀 기능이 없는 등 서비스 토큰에 비해 몇 가지 제한이 있습니다. 따라서 배치 토큰은 장단점을 감수할 수 있는 경우에만 신중하게 사용해야 합니다. 참조: https://developer.hashicorp.com/vault/tutorials/tokens/batch-tokens1, https://developer.hashicorp.com/vault/docs/commands/token/create2, https://developer.hashicorp.com/vault/docs/concepts/tokens#token-types3

환경 변수 VAULT_ADDR은 CLI의 기본 Vault 서버 주소를 재정의합니다. VAULT_ADDR 환경 변수는 다른 애플리케이션이나 프로세스에서 Vault와 통신하는 데 사용되는 Vault 서버의 주소를 지정합니다. 이 변수를 설정하면 코드나 구성 파일에 Vault 서버 주소를 하드코딩하지 않아도 되고, 환경이나 시나리오에 따라 다른 주소를 사용할 수도 있습니다. 예를 들어, 테스트 목적으로는 로컬 개발 서버를 사용하고 애플리케이션 배포에는 프로덕션 서버를 사용할 수 있습니다. 참조: 명령(CLI) > Vault > 해시코프 개발자, Vault 에이전트 - 환경 변수로 시크릿 > Vault > 해시코프 개발자

볼트 임대 갱신 명령은 임대 종료 시점이 아니라 현재 시간부터 임대 시간을 늘립니다. 즉, 사용자는 임대에 남은 특정 시간을 요청할 수 있으며, 이를 증분이라고 합니다. 이는 현재 TTL이 끝날 때의 증분이 아니라 현재 시간으로부터의 증분입니다. 예를 들어 볼트 임대 갱신 -increment=3600 my-lease-id는 임대의 TTL을 지금부터 1시간(3600초)으로 조정하도록 요청합니다. 증분을 임대 종료 시점이 아닌 현재 시점으로 하면 사용자가 전체 임대 기간 동안 실제로 자격 증명이 필요하지 않은 경우 임대 기간을 쉽게 줄일 수 있으므로 해당 자격 증명이 더 빨리 만료되고 리소스를 더 일찍 정리할 수 있습니다. 요청된 증분은 전적으로 권고 사항입니다. 비밀을 담당하는 백엔드는 이를 완전히 무시하도록 선택할 수 있습니다1. 참고:
임대, 갱신 및 해지 | Vault | 해시코프 개발자

Vault 정책은 HCL 또는 JSON 형식으로 작성되며 토큰이나 역할에 이름으로 첨부됩니다. 정책은 Vault의 특정 경로와 비밀에 액세스하고 작업을 수행하기 위한 권한과 제한을 정의합니다. 정책은 기본적으로 거부되므로 비어 있는 정책은 시스템에서 어떠한 권한도 부여하지 않으며, 정책에서 명시적으로 허용하지 않는 모든 요청은 암시적으로 거부됩니다1. Vault 정책의 몇 가지 기능과 장점은 다음과 같습니다:
정책은 경로 기반이므로 요청 경로를 생성, 읽기, 업데이트, 삭제, 목록, sudo 등과 같이 허용되거나 거부된 기능을 지정하는 규칙 집합과 일치시킵니다2.
정책은 추가적이므로 토큰이나 역할에 여러 정책이 첨부되어 있는 경우, 유효한 정책은 모든 개별 정책을 합친 것입니다. 충돌이 있는 경우 가장 허용되는 기능이 부여됩니다3.
정책은 * 및 +와 같은 글로브 패턴을 사용하여 여러 경로 또는 세그먼트를 단일 규칙과 일치시킬 수 있습니다. 예를 들어 경로 "secret/*"는 secret/로 시작하는 모든 경로를 일치시키고, 경로 "secret/+/config"는 secret/ 뒤에 두 개의 세그먼트가 있고 config4로 끝나는 모든 경로를 일치시킵니다.
정책은 템플릿을 사용하여 신원 정보, 시간, 무작위성 등과 같은 특정 값을 규칙에 보간할 수 있습니다. 예를 들어, 경로 "secret/{{identity.entity.id}}/*"는 secret/로 시작하는 모든 경로와 요청자의 엔터티 ID가 뒤따르는 경로와 일치합니다5.
정책은 볼트 정책 명령 또는 시스템/정책 API 엔드포인트를 사용해 관리할 수 있습니다. 이러한 인터페이스를 사용하여 정책을 쓰고, 읽고, 나열하고, 삭제할 수 있습니다6.
기본 정책은 기본적으로 모든 토큰에 첨부되는 기본 제공 정책으로 삭제할 수 없습니다. 그러나 기본 정책은 vault 정책 쓰기 명령 또는 sys/policy API 엔드포인트를 사용하여 수정할 수 있습니다. 기본 정책은 토큰 자체 갱신, 자체 정보 조회, 응답 래핑 토큰 생성 및 관리 등과 같은 토큰에 대한 일반적인 권한을 제공합니다7.
Vault는 HCL과 JSON 형식을 모두 지원하므로 정책을 정의할 때 YAML을 사용할 필요가 없습니다. HCL은 인간 친화적인 구성 언어이며 JSON과도 호환되므로 JSON도 정책에 대한 유효한 입력으로 사용할 수 있습니다8.
정책은 메모리에 저장되고 평가되므로 정책 변경을 적용하기 위해 Vault를 다시 시작할 필요가 없습니다. 정책 변경은 시스템에 즉시 반영되며, 해당 정책이 첨부된 토큰이나 역할은 모두 변경의 영향을 받습니다.

Vault는 특정 IP 주소 또는 네트워크 범위에서만 사용할 수 있는 토큰인 CIDR 바인딩 토큰을 지원합니다. 이는 토큰이 손상되거나 유출될 경우 토큰의 범위와 노출을 제한하는 방법입니다. CIDR 바인딩 토큰은 토큰 역할을 만들거나 업데이트할 때 bound_cidr_list 매개변수를 지정하거나 볼트 토큰 만들기 명령을 사용하여 토큰을 만들 때 -bound-cidr 옵션을 사용하여 만들 수 있습니다. CIDR 바인딩 토큰은 클라이언트의 소스 IP 또는 네트워크에 토큰을 자동으로 바인딩할 수 있는 AWS 또는 Kubernetes와 같은 일부 인증 방법으로도 만들 수 있습니다. 참조: 토큰 - 인증 방법 | 볼트 | 해시코프 개발자, 볼트 토큰 생성 - 명령어 | 볼트 | 해시코프 개발자

구글 클라우드 시크릿 엔진은 데브옵스 팀이 CICD 파이프라인을 통해 GCP에서 VM을 프로비저닝하고 Vault를 통합하여 도구에서 사용하는 자격 증명을 보호하는 데 가장 적합한 옵션입니다. 구글 클라우드 시크릿 엔진은 IAM 정책을 기반으로 GCP 서비스 계정 키 또는 OAuth 토큰을 동적으로 생성할 수 있으며, 이를 사용하여 CICD 도구가 GCP 리소스에 액세스하도록 인증하고 권한을 부여할 수 있습니다. 자격 증명이 더 이상 사용되지 않거나 임대가 만료되면 자동으로 해지되므로 자격 증명의 수명이 짧고 안전합니다. DevOps 팀은 Vault에서 역할 집합 또는 정적 계정을 구성하여 자격 증명의 범위와 권한을 정의하고, Vault API 또는 CLI를 사용하여 필요에 따라 자격 증명을 요청할 수 있습니다. 또한, 구글 클라우드 시크릿 엔진은 가장된 서비스 계정에 대한 액세스 토큰 생성을 지원하므로 키를 저장하거나 관리하지 않고 다른 서비스 계정에 대한 액세스 권한을 위임하는 데 유용할 수 있습니다1.
ID 비밀 엔진은 GCP 자격 증명을 생성하지 않고 다른 Vault 비밀 엔진이나 네임스페이스에 액세스하는 데 사용할 수 있는 ID 토큰을 생성하기 때문에 이 사용 사례에 적합한 옵션이 아닙니다2. 키/값 비밀 엔진 버전 2도 동적 자격 증명을 생성하지 않고 사용자가 제공하는 정적 비밀을 저장하고 관리하기 때문에 좋은 옵션이 아닙니다3. SSH 시크릿 엔진 역시 GCP 자격 증명을 생성하지 않고 SSH를 통해 원격 호스트에 액세스하는 데 사용할 수 있는 SSH 키 또는 OTP를 생성하기 때문에 좋은 옵션이 아닙니다4.
참조:
구글 클라우드 - 시크릿 엔진 | 볼트 | 해시코프 개발자
신원 - 시크릿 엔진 | Vault | 해시코프 개발자
KV - 시크릿 엔진 | Vault | 해시코프 개발자
SSH - 시크릿 엔진 | 볼트 | 해시코프 개발자

전송 시크릿 엔진은 미사용 데이터가 아닌 전송 중인 데이터의 암호화 기능을 처리하도록 설계되었기 때문에 이 크기의 바이너리에 적합한 솔루션이 아닙니다. 트랜짓 시크릿 엔진은 전송된 데이터를 저장하지 않으므로 암호화 또는 암호 해독을 위해 2GB 블롭 전체를 Vault로 보내야 하는데, 이는 비효율적이고 비실용적입니다. 더 나은 해결책은 전송 비밀 엔진을 사용하여 데이터를 로컬에서 암호화하거나 해독하는 데 사용할 수 있는 엔트로피가 높은 키인 데이터 키를 생성하는 것입니다. 데이터 키는 사용 사례에 따라 일반 텍스트로 반환하거나 다른 키로 래핑할 수 있습니다. 이렇게 하면 트랜짓 시크릿 엔진은 데이터 자체가 아닌 데이터 키의 암호화 또는 암호 해독만 처리하며, 데이터는 모든 기본 데이터 저장소에 저장할 수 있습니다. 참조: 트랜짓 - 시크릿 엔진 | 볼트 | 해시코프 개발자, 서비스로서의 암호화: 트랜짓 시크릿 엔진 | 볼트 | 해시코프 개발자

전송 비밀 엔진은 애플리케이션 개발자의 적절한 암호화/복호화에 대한 부담을 덜어주고 Vault 운영자에게 그 부담을 전가합니다. 트랜짓 시크릿 엔진은 서비스형 암호화를 제공하므로 데이터를 저장하지 않고 전송 중인 데이터에 대한 암호화 작업을 수행합니다. 따라서 개발자는 암호화 키와 알고리즘을 관리하는 책임을 트랜짓 시크릿 엔진에 대한 정책을 정의하고 시행할 수 있는 Vault 운영자에게 위임할 수 있습니다. 이렇게 하면 개발자는 애플리케이션 로직과 데이터에 집중할 수 있고, Vault는 안전하고 확장 가능한 방식으로 데이터의 암호화와 암호 해독을 처리합니다. 참조: 트랜짓 - 시크릿 엔진 | 볼트 | 해시코프 개발자, 서비스로서의 암호화: 트랜짓 시크릿 엔진 | 볼트 | 해시코프 개발자