极狐 GitLab CI x Vault，做好企业密钥安全合规管理
“千里之堤，溃于蚁穴”，密钥管理对于软件研发全生命周期来讲犹如蚁穴之于长堤，密钥泄漏已经成为导致企业被勒索攻击的重要因素。安全合规的管理密钥，除了能够有效避免企业遭受重大经济损失，还能够打造良好的企业安全文化，帮助企业在加速软件交付的同时保证安全合规。
密钥管理需要覆盖软件研发全生命周期，比如在编码阶段需要避免密钥硬编码、在构建阶段需要避免密钥被打印到构建日志中、在测试阶段需要去扫描变更代码（或历史中）是否含有密钥信息等。极狐 GitLab 本身具备成熟的密钥管理功能，比如在 CI/CD Pipeline 阶段，可以用 CI 环境变量来存储密钥，还可以将密钥检测的安全扫描手段嵌入到 CI/CD Pipeline 中，及时发现变更代码中的密钥信息，避免外泄。关于极狐 GitLab CI 对于密钥的管理可以查看文章极狐GitLab CI/CD SSHKEY Mask 的几种方式；关于极狐 GitLab 密钥安全扫描的文章可以查看1 行代码开启「密钥检测」，给敏感数据加上防护锁。
本文将演示极狐 GitLab CI 与 Vault 集成来进行密钥的安全合规管理。
关于 Vault
Vault 是 Hashorp 公司推出的一款开源的、基于身份识别的密钥和加密管理系统。以 Default deny all 的原则来管理诸如 API key、用户名密码（password）、访问令牌（token）及证书（certificates）等密钥。更多关于 Vault 的内容可以查看 Vault 官网。
极狐 GitLab CI 与 Vault 的集成原理
在 vault 上配置密钥（UI、CLI、API 均可）；
生成 JWT 以供 CI Job 用；
Runner 和 Hashicorp 连接并用 JWT 做认证；
Vault 对 JWT 进行验证；
Vault 对于 bound claim 和 对应的 vault policy 进行检查；
Vault 返回访问令牌；
Runner 从 Vault 读取密钥信息进行使用。
极狐 GitLab CI 与 Vault 集成的两种方式
可以使用 secrets 关键字或 CLI 的方式来在极狐 GitLab CI 中使用 Vault。
secrets:vault 关键字的使用
secrets 是极狐 GitLab CI 中用来从外部密钥管理工具读取密钥的关键字。可以使用 secrets:vault 从 vault 服务器读取存储在里面的密钥信息。
比如在 vault 中使用 kv engine （v2）来存储容器镜像仓库的用户名和密码：
将 vault 相关的环境变量存储在极狐 GitLab CI 变量中：
VAULT_SERVER_URL：vault服务器地址；VAULT_AUTH_ROLE：vault 上创建的 role，用来和对应的 policy 进行绑定，实现存储密钥的精细化管控；VAULT_AUTH_PATH：认证方法在 vault auth 中的挂载路径，默认为jwt。
.gitlab-ci.yml 文件内容如下：
查看 CI/CD Pipeline 构建结果：
可以看到极狐 GitLab CI 读取 vault 信息成功，并且将其保存到名为 DATABASE_PASSWORD 的文件里面，路径如红色方框截图所示。
CLI 方式
通过 CLI 的方式就像本地访问 valut 一样，用 vault 的各种命令即可实现对密钥的增删改查等操作。依旧以前面写入的密钥信息为例来演示 CLI 在极狐 GitLab CI 中的使用。
.gitlab-ci.yml 文件内容如下：
查看 CI/CD Pipeline 构建结果：
可以看到极狐 GitLab CI 读取 vault 信息成功。
注意，直接使用 CLI 方式读取的密钥信息，可以使用
echo命令打印出来，需要避免在 CI/CD Pipeline 构建中打印密钥信息或者采取第一种方式来避免造成密钥信息在 CI/CD Pipeline 构建过程中的泄漏。
参考：
版权声明: 本文为 InfoQ 作者【极狐GitLab】的原创文章。
原文链接:【http://xie.infoq.cn/article/983d95aedb996e7dcbcb3ab48】。
本文遵守【CC BY-NC】协议，转载请保留原文出处及本版权声明。
开源开放，人人贡献 2021-05-19 加入
开放式一体化DevOps平台，助力行业高速协同增长！
评论