База знаний PMTA›Блок конфигурации§ 3.3.23

<vault>

Внешнее хранилище секретов

Секреты не в файлах узла, а в отдельном хранилище

Две строки — адрес и токен — и с этого момента узел умеет читать секреты из внешнего хранилища вместо своих файлов.

Что можно туда унести. Ключи подписи (domain-key), сертификат для приёма почты и пароль к его закрытому ключу (smtp-server-tls-certificate), а также проверку пароля подачи через LDAP (authentication-method со значением {vault}:ldap).

Ссылка записывается прямо в директиве — вместо пути пишется {vault}:путь/ключ. Конфигурация при этом остаётся читаемой: в ней видно, откуда берётся секрет, но не сам секрет.

Блок один на узел. Двух хранилищ быть не может.

Токен создаётся вручную на стороне Vault и в конфигурации лежит открытым текстом — то есть один секрет всё-таки остаётся на узле, но один вместо многих, и отзывается он в одном месте.

Пример в конфигурации

# адрес и токен — всё, что нужно для подключения
<vault>
    server-url https://myvault:4500
    access-token akhdfasdhf786282684734kjsdhf
</vault>

# дальше секреты берутся ссылкой вместо пути
smtp-server-tls-certificate {vault}:/v1/kv/data/tlsCerts:smtp-cert

Пример руководства. В конфигурации остаётся только токен; ключи, сертификаты и пароли к ним живут в хранилище и в резервные копии узла не попадают.

жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.

Директивы блока: 3

Доступ 3

access-tokenТокен, которым узел представляется хранилищу секретов cache-ttlСколько ключ из хранилища держится в памяти узла server-urlАдрес хранилища секретов

Совместимость

PowerMTA 6.0

описана в руководстве этой версии · платформа: любая

С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.

⇄

Связанные записи

0 связей

Сюда ссылаются

Закрыть права на файлы конфигурацииСпособ убрать ключи из файла вовсе — оставить в конфигурации ссылку, а не сам ключ. § 1.6.3 smtp-server-tls-certificateGlobalИ сертификат, и пароль к нему можно держать не файлом, а в хранилище секретов. § 3.3.1.10 domain-keyGlobalКлюч может лежать не на диске, а в хранилище секретов. Тогда вместо пути пишется ссылка, в том числе с подстановкой селектора и домена. § 3.3.1.55.1 authentication-method<smtp-user>Проверка пароля через LDAP идёт через хранилище секретов — без объявленного блока она недоступна. § 3.3.8.2

◇

Что ещё почитать

2 статьи

◇Как узел подписывает письма и выбирает ключКлюч выбирается по домену отправки из заголовков, перебором объявлений сверху вниз.◇Секреты во внешнем хранилищеКлючи подписи можно держать в HashiCorp Vault: в конфигурации остаётся путь, MTA берёт ключ по HTTP и держит в памяти, не записывая на диск.

В Хабе

Цена ошибки: обратимо: вредит, пока стоит
Сценарии: Ротация ключей