Was du nicht tun solltest
Root-Token im Alltag: nur für
Setup/Break-Glass; danach revoken. generate-root
braucht ab 2.0 Quorum und gültiges Token;
Notfallweg ohne Token:
enable_unauthenticated_access = ["generate-root"] in
die Server-Config, per SIGHUP ohne Restart laden, danach wieder
entfernen.
KV als Konfig-Store: Vault verwaltet Secrets, kein allgemeines App-Config-Management, Nicht-Geheimes gehört in ConfigMaps/Git, sonst wächst Policy- und Audit-Fläche ohne Gewinn.
Policies auf secret/app statt
secret/data/app: KV-v2-Pfad-Falle, die
Policy greift nie.
Leases ignorieren: dynamische DB-Credentials cachen und nach Lease-Ablauf weiterverwenden bricht in Prod.
Kein/ein Audit Device: blind im Incident bzw. Blocking-Risiko, darum immer zwei.
Shamir-Shares bei einer Person: hebelt das Threshold-Konzept aus; Shares auf Rollen verteilen oder Auto-Unseal nutzen.
Sealed Vault als Ausnahme behandeln: Restart heißt sealed. Ohne Auto-Unseal bleibt jeder neu gestartete Node (Rolling Update, Node-Drain) sealed, bis genug Share-Halter tippen; nur noch entsiegelte Standbys können übernehmen. Versiegelte Nodes zählen auch nicht zum Raft-Quorum; sind zwei von drei versiegelt, steht der Cluster.