Vault : Auto-unseal fail avec GCP KMS

Question

salut la team on a migré notre vault sur gcp et on essaie de configurer l'auto-unseal avec kms mais ça marche pas
quand je redémarre vault j'ai l'erreur context deadline exceeded quand il essaie de contacter kms. la vm a les bons scopes iam pour kms. y'a un truc que je rate ?

seal "gcpckms" {
  project     = "mon-projet-gcp"
  region      = "europe-west1"
  key_ring    = "vault-keyring"
  crypto_key  = "vault-key"
}

roger-marcelle · Answer

yo t'as vérifié les rôles IAM du service account de ta VM ? il faut cloud kms cryptokey encrypter/decrypter sur la clé spécifique pas juste le keyring ou le projet. des fois c'est ça le souci

perrot-thomas · Answer

et aussi la connectivité réseau depuis ta VM vers l'endpoint KMS ? genre un gcloud auth print-access-token et ensuite un curl sur l'api kms pour voir si ça passe

christine-delorme · Answer

ou un pare-feu sortant sur la vm qui bloque le port 443 vers les adresses de l'api gcp ? ça arrive plus souvent qu'on pense sur les envs strictes

bpayet · Answer

bingo c'était bien le rôle iam j'avais mis sur le keyring au lieu de la clé directement. après ajustement le vault a démarré auto-unsealed direct. merci les gars !

Vault : Auto-unseal fail avec GCP KMS

4 commentaires

Laisser une réponse

Veille technologique 2018 Docker et les Microservices

Comment se préparer à la certification AWS Solution Architecte Associate + Cheat Sheet

Conclusion du cours Kubernetes

Comment copier et contribuer à un projet GitLab via le Fork

Comment fusionner vos commits avec le Squash sur GitLab

Rejoindre la communauté