Ключи подписи домена можно хранить в HashiCorp Vault вместо файлов: в domain-key пишется путь вида {vault}:/v1/…:поле, а доступ к хранилищу описывает блок <vault>.
Ключ не лежит на диске узла: MTA берёт его из хранилища по HTTP или HTTPS, держит в памяти заданное время и на диск не пишет. Ненайденный ключ запоминается как отсутствующий на час.
Ключи можно менять без правки конфигурации — например, при ротации; поддерживаются только MTA секретов версии 2.
Что где:
| Что | Как |
|---|---|
| где лежит ключ | путь {vault}:/v1/…:поле в domain-key |
| как MTA ходит в хранилище | блок <vault>, HTTP или HTTPS |
| сбросить кэш после ротации | clear secretscache |
# ключ домена из хранилища вместо файла domain-key sel, example.com, {vault}:/v1/p25/data/domain-keys/example.com:k1
Связанные записи
2 связи
pmta clear secretscache grep -i vault /var/log/pmta/log | tail -20
Что ещё почитать
3 статьи
◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Группа, дающая право управлятьЧленство в группе pmta даёт непривилегированному пользователю право звать команды узла и пользоваться подачей.◇Как узел выбирает источник и складывает его настройкиСоединение попадает под все блоки источника, чьи адреса его накрывают, и действуют они слитно — узкий перекрывает широкий; именованные блоки подключаются только по прямой ссылке.
- Цена ошибки
- обратимо: вредит, пока стоит
- Сценарии
- Ротация ключей · Безопасность узла