ExamsLabs Vault-Associate 考试问题真实 Vault-Associate 练习试卷 [Q32-Q52]

B. vault kv put secret/password value-itsasecret。该命令会将秘密值 "itsasecret "存储在路径 secret/password 的键/值秘密引擎中，但也会在 shell 历史记录中暴露秘密值，其他用户或恶意行为者可能会访问该值。这不是在 Vault 中存储秘密的安全方法。
其他命令是在 Vault 中存储秘密而不会在 shell 历史记录中泄露的更安全方法。
A). generate-password | vault kv put secret/password value 将使用管道把 generate-password 命令（可以是生成随机密码的脚本或工具）的输出传递给 vault kv put 命令，后者会把密码存储在 key/value secrets 引擎中的 secret/password 路径下。密码不会出现在 shell 历史记录中，只会出现在命令中。
C). vault kv put secret/password [email protected] 将使用 @ 语法从名为 data.txt 的文件中读取秘密值（该文件可能已加密或受文件权限保护），并将其存储在 key/value secrets 引擎中的 secret/password 路径下。文件名会在 shell 历史记录中显示，但秘密值不会显示。
D). vault kv put secret/password value-SSECRET_VALUE 将使用 -S 语法从环境变量 SECRET_VALUE 中读取秘密值（可以在 shell 会话中设置或取消设置），并将其存储在 secret/password 路径下的键/值秘密引擎中。在 shell 历史记录中，环境变量的名称是可见的，但秘密值却不可见。
参考资料
[Write Secrets | Vault | HashiCorp Developer] [写入秘密 | Vault | HashiCorp Developer

动态密码由 Vault 按需生成，其有效时间（TTL）有限。它们不能确保管理员可以看到使用的每一个密码，因为它们通常是加密的和短暂的。动态密码的优点如下
它们支持本身不提供过期凭证方法的系统，如数据库、云提供商、SSH 等。Vault 可以在不再需要或租约到期时撤销凭证。
它们能最大限度地减少凭证泄漏造成的损失，因为它们的有效期很短，很容易轮换或撤销。如果凭证被泄露，攻击者在凭证失效前只有有限的机会使用它。
它们取代了繁琐的密码轮换工具和做法，因为 Vault 可以自动、安全地处理凭证的生成和撤销。这降低了管理机密的运营开销和复杂性。

Vault 中的三项政策是
管理员：此策略允许完全访问 Vault 中的所有秘密和操作。需要管理 Vault 所有方面的管理员或操作员可以使用该策略。
默认：此策略允许访问 Vault 中的所有秘密和操作，需要特定策略的除外。当没有其他策略匹配时，可将其用作备用策略。
过境：此策略只允许访问传输机密引擎，该引擎处理传输中数据的加密功能。需要使用 Vault 加密或解密数据的应用程序或服务可以使用该策略。
这些政策使组织能够执行以下有用的任务：
使用转接引擎对数据进行加密、解密和重新封装，所有操作都在一个策略中完成：该策略允许访问转接秘密引擎和默认策略，后者允许对 Vault 中的任何秘密执行任何操作。
创建传输加密密钥，用于加密、解密和重新封装加密数据：该策略只允许访问传输机密引擎及其相关密钥，这些密钥用于使用 256 位 AES 密钥或其他支持的密钥类型的 AES-GCM 对传输中的数据进行加密和解密。
分离与过境保密引擎相关操作的允许权限：此策略仅允许访问与过境保密引擎相关的特定操作，如创建密钥或封装请求。它不允许访问 Vault 中的其他操作或秘密。

身份组是具有某些共同属性的实体集合。一个身份组可以附加一个或多个策略，由该身份组的所有成员继承。身份组还可以有子组，子组可以进一步完善实体子集的策略和属性。
身份组的用例之一是将同一套策略一致地应用于一系列实体。例如，一个组织可能有不同的团队或部门，如工程部、销售部或市场部。每个团队都可能有自己的身份组，其策略可授权访问与其工作相关的机密和资源。通过为每个团队创建一个身份组，企业可以确保属于每个团队的实体拥有相同级别的访问权限和权限，无论他们使用哪种身份验证方法登录 Vault。参考：身份：实体和组 | Vault | HashiCorp Developer, vault_identity_group | Resources | hashicorp/vault | Terraform | Terraform Registry

集成存储是一个基于 Raft 的存储后端，可让 Vault 在内部存储数据，而无需依赖外部存储系统。它还能让 Vault 以高可用性模式运行，并自动进行领导者选举和故障切换。不过，集成存储无法避免因硬件故障、网络分区或人为错误造成的数据丢失或损坏。因此，建议使用快照功能定期或按需备份和还原 Vault 数据。快照是整个 Vault 数据的时间点捕获，包括加密机密、配置和元数据。快照可使用 vault 操作员筏快照命令或 sys/storage/raft/snapshot API 端点进行拍摄和恢复。快照是加密的，只有使用法定解封密钥或恢复密钥才能恢复。快照还具有可移植性，可用于在不同的 Vault 集群或存储后端之间迁移数据。参考：https://developer.hashicorp.com/vault/docs/concepts/integrated-storage1, https://developer.hashicorp.com/vault/docs/commands/operator/raft/snapshot2, https://developer.hashicorp.com/vault/api-docs/system/storage/raft/snapshot3

这句话是对的。禁用认证方法后，所有通过该方法认证的用户都将失去访问权限。这是因为当认证方法被禁用时，认证方法签发的令牌会被自动撤销。这就阻止了用户使用被撤销的令牌在 Vault 中执行任何操作。要重新获得访问权，用户必须使用另一种已启用并附加了适当策略的验证方法重新进行验证。参考：Auth Methods | Vault | HashiCorp Developer, auth disable - Command | Vault | HashiCorp Developer

可用于建立自己的内部证书颁发机构的 Vault 秘密引擎是 PKI 秘密引擎。PKI 秘密引擎可按需生成动态 X.509 证书，无需手动生成私钥和 CSR、提交给 CA 以及等待验证和签名。PKI 密钥引擎可充当根 CA 或中间 CA，并可签发用于各种目的的证书，如 TLS、代码签名、电子邮件加密等。PKI 秘密引擎还可以管理证书的生命周期，如轮换、撤销、更新和 CRL 生成。PKI 秘密引擎还可与外部 CA（如 Venafi 或 Entrust）集成，以委托颁发和管理证书。参考资料：PKI - Secrets Engines | Vault | HashiCorp Developer, Build Your Own Certificate Authority (CA) | Vault - HashiCorp Learn

产生错误的原因是策略代码中包含无效的功能 "写"。策略的有效功能包括 "创建"、"读取"、"更新"、"删除"、"列表 "和 "sudo"。写 "功能不被 Vault 识别，应替换为 "创建"，它允许创建新秘密或覆盖现有秘密。其他说法也不正确，因为通配符 (*) 和 sudo 功能在策略中都有效。通配符可以匹配路径段中任意数量的字符，而 sudo 功能允许执行某些需要 root 权限的操作。
参考资料
[Policy Syntax | Vault | HashiCorp Developer] （政策语法 | Vault | HashiCorp 开发人员
[Policy Syntax | Vault | HashiCorp Developer] （政策语法 | Vault | HashiCorp 开发人员

该文件包含一个 JSON 对象，其中有一个键 "明文 "和一个值，后者是要加密的数据的 base64 编码字符串。这是 Vault API 对传输加密端点1 所期望的格式。其他文件之所以不正确，要么是密钥名称不对，要么是值格式不对，要么是 JSON 语法不对。
参考资料
加密数据 - Transit Secrets Engine | Vault | HashiCorp Developer

当您在图形用户界面中启用身份验证方法时，将显示此截图。身份验证方法是用户和应用程序与 Vault 进行身份验证的方式。Vault 支持多种不同的身份验证方法，包括用户名和密码、GitHub 等。您可以从选项网格中启用一种或多种身份验证方法，这些选项分为三类：通用、云和 Infra。每个选项都有名称、描述和徽标。你还可以使用 Vault CLI 或 API 启用身份验证方法。
启用策略、身份验证引擎和秘密引擎是不同的任务，与本截图无关。策略是管理访问 Vault 资源（如秘密、身份验证方法和审计设备）的规则。身份验证引擎是 Vault 的组件，用于执行身份验证并为通过身份验证的实体分配策略。秘密引擎是 Vault 的组件，用于存储、生成或加密数据。这些任务的图形用户界面页面和选项与截图不同。
参考资料
[认证 | 保险库 | HashiCorp 开发人员]
[Policies | Vault | HashiCorp Developer］
[认证 | 保险库 | HashiCorp 开发人员]
[Secrets Engines | Vault | HashiCorp Developer] （秘密引擎 | 金库 | HashiCorp 开发人员

Vault Agent 是一个客户端守护进程，提供以下功能：
自动授权 - 自动对 Vault 进行身份验证，并管理本地检索动态机密的令牌更新过程。
API 代理 - 允许 Vault Agent 充当 Vault API 的代理，可选择使用（或强制使用）自动授权令牌。
缓存 - 允许客户端缓存包含新创建令牌的响应，以及包含根据这些新创建令牌生成的租用秘密的响应。代理还负责管理缓存令牌和租约的更新。
模板 - 允许 Vault Agent 使用自动授权步骤生成的令牌呈现用户提供的模板。
进程监督模式 - 运行一个子进程，并将 Vault 秘密作为环境变量注入。
使用 Vault 代理的好处之一是，它可以自动管理缓存令牌和租约的生命周期。这意味着代理将处理令牌更新和撤销逻辑，以及代理缓存的秘密的租约更新和撤销逻辑。这就减轻了应用程序开发人员和操作人员的负担，并确保令牌和机密始终有效和最新。参考资料Vault Agent | Vault | HashiCorp Developer, 缓存 - Vault Agent | Vault | HashiCorp Developer

Vault 密封配置有两种设置方式：通过 Vault 配置文件或环境变量。Vault 配置文件是一个文本文件，包含 Vault 的设置和选项，如存储后端、监听器、遥测和密封。配置文件中的封印节指定了封印类型和用于额外数据保护的参数，如使用 HSM 或云 KMS 解决方案加密和解密根密钥。密封配置也可以通过环境变量来设置，环境变量优先于配置文件中的值。环境变量的前缀是 VAULT_SEAL_，后跟密封类型和参数名称。例如，VAULT_SEAL_AWSKMS_REGION 设置 AWS KMS 密封的区域。参考：密封 - 配置 | Vault | HashiCorp Developer, 环境变量 | Vault | HashiCorp Developer

查看 Vault 令牌详细信息时，策略键可帮助您找到令牌能够访问的路径。策略是授予或禁止访问 Vault 中某些路径和操作的声明式方法。策略以 HCL 或 JSON 格式编写，通过名称附加到令牌。默认情况下，策略是拒绝的，因此空策略在系统中不授予任何权限。一个令牌可以有一个或多个与之关联的策略，有效策略是所有单个策略的组合。你可以使用 vault 令牌查询命令或 auth/token/lookup API 端点查看令牌的详细信息。输出结果将显示策略密钥，以及附加到令牌的策略名称列表。还可以使用 vault policy read 命令或 sys/policy API 端点查看策略内容。输出结果将显示规则键和策略的 HCL 或 JSON 表示形式。规则将指定路径和策略允许或拒绝的功能（如创建、读取、更新、删除、列表等）。参考：https://developer.hashicorp.com/vault/docs/concepts/policies4, https://developer.hashicorp.com/vault/docs/commands/token/lookup5, https://developer.hashicorp.com/vault/api-docs/auth/token#lookup-a-token6, https://developer.hashicorp.com/vault/docs/commands/policy/read7, https://developer.hashicorp.com/vault/api-docs/system/policy8

批量令牌是令牌的一种类型，它不在 Vault 的存储后端持久保存，而是加密的 blob，携带足够的信息来执行 Vault 操作。批量令牌非常轻便，可扩展性强，可以提高令牌生成的吞吐量。批量令牌适用于大容量和短暂的工作负载，如容器或无服务器功能，这些负载需要短期和不可再生的令牌。批量令牌可以通过在 vault 令牌创建命令中使用 -type=batch 标志，或在 auth 方法的角色或挂载选项中配置 token_type 参数来创建。与服务令牌相比，批处理令牌有一些限制，如缺乏续期、撤销、列表、访问器和立方孔功能。因此，应谨慎使用批处理令牌，只有在权衡利弊后可以接受的情况下才使用。参考文献：https://developer.hashicorp.com/vault/tutorials/tokens/batch-tokens1, https://developer.hashicorp.com/vault/docs/commands/token/create2, https://developer.hashicorp.com/vault/docs/concepts/tokens#token-types3

环境变量 VAULT_ADDR 会覆盖 CLI 的默认 Vault 服务器地址。VAULT_ADDR环境变量指定Vault服务器地址，用于其他应用程序或进程与Vault通信。通过设置该变量，可以避免在代码或配置文件中硬编码 Vault 服务器地址，还可以针对不同的环境或场景使用不同的地址。例如，您可以使用本地开发服务器进行测试，使用生产服务器部署应用程序。参考：命令 (CLI) | Vault | HashiCorp Developer, Vault Agent - secrets as environment variables | Vault | HashiCorp Developer

vault 租期续订命令是从当前时间开始递增租期时间，而不是租期结束时间。这意味着用户可以要求一个特定的租期剩余时间，即增量。这不是当前 TTL 结束时的增量，而是从当前时间开始的增量。例如，vault lease renew -increment=3600 my-lease-id 将要求从现在起把租用的 TTL 调整为 1 小时（3600 秒）。将增量植根于当前时间而不是租期结束时间，可以方便用户在实际不需要凭证的情况下缩短租期，使凭证更早到期，资源更早清理。请求的增量完全是咨询性的。负责保密的后端可以选择完全忽略它1。参考资料
租赁、续约和撤销 | Vault | HashiCorp Developer

Vault 策略以 HCL 或 JSON 格式编写，通过名称附加到令牌或角色。策略定义了对 Vault 中某些路径和机密进行访问和执行操作的权限和限制。默认情况下，策略是拒绝的，这意味着空策略在系统中不授予任何权限，任何未被策略明确允许的请求都会被隐式拒绝1。Vault 策略的一些功能和优点如下
策略是基于路径的，这意味着它们将请求路径与指定允许或拒绝功能（如创建、读取、更新、删除、列表、sudo 等）的一组规则相匹配2。
策略是相加的，也就是说，如果一个标记或一个角色附加了多个策略，那么有效策略就是所有单个策略的总和。如果存在冲突，则会授予权限最大的能力3。
策略可以使用 * 和 + 等 glob 模式，用一条规则匹配多个路径或片段。例如，路径 "secret/*"可匹配以 secret/ 开头的任何路径，而路径 "secret/+/config "则可匹配在 secret/ 之后以 config4 结尾的任何路径。
策略可使用模板将某些值插入规则中，如身份信息、时间、随机性等。例如，路径 "secret/{{identity.entity.id}}/*"匹配以 secret/ 开头、后跟请求者实体 ID5 的任何路径。
可以使用 vault 策略命令或 sys/policy API 端点来管理策略。使用这些接口可以写入、读取、列出和删除策略6。
默认策略是一种内置策略，默认情况下会附加到所有令牌上，且无法删除。不过，可以使用 vault policy write 命令或 sys/policy API 端点修改默认策略。默认策略为令牌提供常用权限，如自我更新、查询自身信息、创建和管理响应包令牌等7。
您不必使用 YAML 来定义策略，因为 Vault 同时支持 HCL 和 JSON 格式。HCL 是一种人性化的配置语言，与 JSON 兼容，这意味着 JSON 也可用作策略的有效输入8。
Vault 不需要重新启动就能使策略变更生效，因为策略是在内存中存储和评估的。策略的任何更改都会立即反映在系统中，任何附加了该策略的令牌或角色都会受到更改的影响。

Vault 支持 CIDR 绑定令牌，即只能在一组特定 IP 地址或网络范围内使用的令牌。这是一种限制令牌使用范围和风险的方法，以防令牌被泄露或泄漏。可以在创建或更新令牌角色时指定 bound_cidr_list 参数，或在使用 vault 令牌创建命令创建令牌时使用 -bound-cidr 选项来创建 CIDR 绑定令牌。某些授权方法（如 AWS 或 Kubernetes）也可以创建绑定 CIDR 的令牌，它们可以自动将令牌绑定到客户端的源 IP 或网络。参考：令牌 - Auth Methods | Vault | HashiCorp Developer, vault token create - Command | Vault | HashiCorp Developer

谷歌云秘密引擎是 DevOps 团队通过 CICD 管道在 GCP 中配置虚拟机并集成 Vault 以保护工具所使用凭证的最佳选择。Google Cloud Secrets Engine 可以根据 IAM 策略动态生成 GCP 服务账户密钥或 OAuth 令牌，用于验证和授权 CICD 工具访问 GCP 资源。凭证在不再使用或租约到期时会自动撤销，从而确保凭证的短期性和安全性。DevOps 团队可以在 Vault 中配置角色集或静态账户，以定义凭证的范围和权限，并使用 Vault API 或 CLI 按需请求凭证。谷歌云秘密引擎还支持为冒充的服务账户生成访问令牌，这对于授权访问其他服务账户而无需存储或管理其密钥非常有用1。
身份保密引擎并不适合这种用例，因为它不会生成 GCP 凭据，而是生成可用于访问其他 Vault 保密引擎或命名空间的身份令牌2。密钥/值保密引擎第 2 版也不是一个好选择，因为它不会生成动态凭证，而是存储和管理用户提供的静态机密3。SSH 秘密引擎也不是一个好选择，因为它不会生成 GCP 凭据，而是生成 SSH 密钥或 OTP，可用于通过 SSH 访问远程主机4。
参考资料
Google Cloud - Secrets Engines | Vault | HashiCorp Developer
身份 - Secrets Engines | Vault | HashiCorp Developer
KV - Secrets Engines | Vault | HashiCorp Developer
SSH - Secrets Engines | Vault | HashiCorp Developer

对于这种大小的二进制文件，过境保密引擎不是一个好的解决方案，因为它的设计目的是处理传输中数据的加密功能，而不是处理静态数据的加密功能。中转保密引擎不会存储发送给它的任何数据，因此需要将整个 2GB blob 发送给 Vault 进行加密或解密，这既低效又不切实际。更好的解决方案是使用传输机密引擎生成数据密钥，这是一个高熵密钥，可用于在本地加密或解密数据。数据密钥可以以明文形式返回，也可以由另一个密钥封装，具体取决于使用情况。这样，传输机密引擎只处理数据密钥的加密或解密，而不处理数据本身，数据可存储在任何主数据存储区。参考：Transit - Secrets Engines | Vault | HashiCorp Developer, Encryption as a service: Transit secrets engine | Vault | HashiCorp Developer

过境保密引擎减轻了应用程序开发人员进行适当加密/解密的负担，并将这一负担推给了 Vault 操作员。过境保密引擎将加密作为一项服务来提供，这意味着它在不存储任何数据的情况下对传输中的数据执行加密操作。这样，开发人员就可以将管理加密密钥和算法的责任委托给 Vault 操作员，由他们来定义和执行有关过境保密引擎的策略。这样，开发人员就可以专注于他们的应用逻辑和数据，而 Vault 则以安全和可扩展的方式处理数据的加密和解密。参考资料Transit - Secrets Engines | Vault | HashiCorp Developer, Encryption as a service: transit secrets engine | Vault | HashiCorp Developer