Vault HSM integration galère avec AWS CloudHSM

auguste30 15/07/2024
RÉSOLU
auguste30
Auteur Actif Secouriste
Avatar de auguste30
auguste30
Auteur Actif Secouriste

slt la team j'essaie d'intégrer vault avec aws cloudhsm pour le scellage mais je galère. j'ai configuré mon hsm cluster créé les users cryptographiques et tout. côté vault j'ai mis le config block pour le seal type 'hsm' mais quand je lance vault il arrive pas à se connecter à mon hsm. j'ai des erreurs de connexion dans les logs genre rpc error

15/07/2024 à 06:46

6 commentaires

alice21
Membre Actif
Avatar de alice21
alice21
Membre Actif

hello t'as bien installé les librairies cloudhsm sdk sur ton serveur vault ? et la variable d'environnement hsm_library_path est correcte ? souvent c un truc de chemin ou de permissions

16/07/2024 à 06:31
guibert-constance
Membre Secouriste
Avatar de guibert-constance
guibert-constance
Membre Secouriste

en plus des libs vérifie que ton config block pour le seal hsm dans vault est bien formaté. le path vers la conf du client hsm (cloudhsm.conf) est bon ? et les credentials (user pin) sont corrects ? faut que vault puisse parler au client hsm

seal "hsm" {
  hsm_library = "/opt/cloudhsm/lib/libcloudhsm_pkcs11.so"
  hsm_slot = "0"
  hsm_key_label = "vault-hsm-key"
  hsm_pin = "your_hsm_user_pin"
  cloudhsm_client_config = "/etc/cloudhsm/cloudhsm.conf"
}
17/07/2024 à 00:44
vaillant-anais
Membre Actif
Avatar de vaillant-anais
vaillant-anais
Membre Actif

et le réseau entre ton serveur vault et le cloudhsm cluster ? firewall security groups nacls tout ça. le hsm client doit pouvoir atteindre l'interface réseau de ton cloudhsm. des fois on oublie un port

17/07/2024 à 21:08
alice21
Membre Actif
Avatar de alice21
alice21
Membre Actif

oui et le rôle iam de ton instance vault. il a bien les permissions nécessaires pour interagir avec cloudhsm ? genre km:DescribeKey etc. même si c'est le hsm client qui fait le taf vault a besoin de quelques perms pour le bootstrapping

18/07/2024 à 19:06
guibert-constance
Membre Secouriste
Avatar de guibert-constance
guibert-constance
Membre Secouriste

check les logs du client hsm lui-même. ils sont souvent plus bavards que les logs vault pour les soucis de connexion. /var/log/cloudhsm-client.log ou un truc du genre

19/07/2024 à 13:12
auguste30
Auteur Actif Secouriste
Avatar de auguste30
auguste30
Auteur Actif Secouriste

bon j'ai tout revérifié. c'était en fait un mix de permissions iam manquantes et d'une typo dans le pin utilisateur hsm dans ma config vault. le rôle iam n'avait pas les droits pour kms describe key. après correction ça démarre nickel et le unseal se fait par le hsm. thx pour les pistes

20/07/2024 à 07:59

Laisser une réponse

Vous devez être connecté pour poster un message !

Rejoindre la communauté

Recevoir les derniers articles gratuitement en créant un compte !

S'inscrire