Seal / Unseal
Vault startet sealed: Die Daten sind mit einem Encryption Key (Keyring) verschlüsselt, der Keyring mit dem Root Key, der Root Key mit dem Unseal Key. Erst nach dem Unseal kann Vault Requests bedienen.
vault operator init teilt den Unseal Key per
Shamir's Secret Sharing in Shares auf, Default 5 Shares, Threshold 3. Shares einzeln,
in beliebiger Reihenfolge eingeben.
Shamir vs. Auto-Unseal
Shamir (Default): Menschen halten Key-Shares, jeder Neustart braucht das Quorum, operativ teuer, HA-feindlich.
Auto-Unseal: delegiert den Unseal Key an
einen vertrauten Dienst (Cloud-KMS, HSM oder Transit-Engine eines
zweiten Vault). Vault entsiegelt sich beim Start selbst; für
Quorum-Operationen (z.B. generate-root) treten
Recovery Keys an die Stelle der Unseal Keys.
Integrated Storage (Raft)
Eingebauter HA-Datastore: repliziert per Raft-Konsens auf alle Server, kein externes Backend nötig. Quorum = Mehrheit der Voting-Nodes, deshalb ungerade Server-Zahl (3 oder 5).
Join über retry_join-Stanza in der Config
oder vault operator raft join, Nodes einzeln
joinen und Health abwarten. disable_mlock ist mit
Raft Pflichtfeld (seit 1.20), fehlt es, startet der Server
nicht.
vault operator init # 5 Shares, Threshold 3 vault operator unseal # 3x, je ein Share vault status vault operator raft list-peers vault operator raft snapshot save backup.snap