Vault Cheatsheet

Kapitel

1. 01

   Architektur: Seal & Unseal

   Wie Vault Daten über Keyring, Root Key und Unseal Key schützt, Shamir-Shares gegen Auto-Unseal sowie Integrated Storage mit Raft, Quorum und retry_join.

2. 02

   Secrets Engines

   Versionierte Secrets in KV v2, dynamische Datenbank-Credentials mit Lease und rotate-root, PKI mit kurzen TTLs statt Revocation und Transit als Encryption as a Service.

3. 03

   Auth-Methoden

   Kubernetes-Auth mit TokenReview und der Unterschied zwischen Vault im Pod und extern, AppRole mit Response Wrapping sowie OIDC für Menschen und JWT für Workloads.

4. 04

   Policies (HCL)

   Pfadbasierte Policies mit leerer Policy als kein Zugriff, die Capabilities von create bis sudo, Wirkung von default und root sowie Globs mit * und +.

5. 05

   Token-Lifecycle

   Service- und Batch-Tokens im Vergleich, TTL, Renewal bis zur Max-TTL, Periodic Tokens und warum ein Revoke die Child-Tokens mitnimmt, Orphans aber nicht.

6. 06

   Kubernetes-Integration

   Agent Injector mit Sidecar und Annotations, der CSI Provider mit SecretProviderClass und der Vault Secrets Operator mit seinen CRDs für statische, dynamische und PKI-Secrets.

7. 07

   Audit Devices

   Was Audit Devices protokollieren, HMAC-Hashes für sensible Werte und warum Vault ohne schreibbares Audit Device keine Requests mehr beantwortet.

8. 08

   Versionen & Support

   Das Versionsschema V.M.F ab 2.0, Support-Zyklen für Enterprise und Community und die Stolpersteine beim Upgrade auf 2.x von sys/rekey bis retry_join.

9. 09

   Betrieb

   Statuscodes von GET /v1/sys/health mit standbyok, der 307 auf bereinigte Pfade seit 2.0.3 und tls_reload_interval ab 2.2.

10. 10

    Anti-Patterns

    Was bei Vault im Betrieb schiefgeht: Root-Token im Alltag, KV als Konfig-Store, Policies ohne data/-Pfad, ignorierte Leases, nur ein Audit Device und Shamir-Shares bei einer Person.

Alle Kapitel auf einer Seite, zum Durchsuchen mit Strg+F und zum Drucken.