vault kms auto-unseal foireux sur gcp

Question

Salut les experts Vault ! J'essaye de configurer l'auto-unseal de Vault avec GCP KMS mais ça veut pas. Le service Vault démarre, mais il reste sealed. J'ai pourtant suivi la doc à la lettre. J'ai une instance GCE et j'utilise le rôle par défaut de l'instance pour les perms KMS.

# vault config excerpt
storage "raft" {
  path = "/vault/data"
}

listener "tcp" {
  address = "0.0.0.0:8200"
  tls_disable = true
}

seal "gcpkms" {
  project     = "mon-projet-gcp"
  region      = "europe-west1"
  key_ring    = "vault-keyring"
  crypto_key  = "vault-key"
}

Et dans les logs j'ai un truc du genre Error initializing seal: error fetching token from metadata server: StatusCode(403)

matthieu-pires · Answer

Hmm StatusCode(403) ça sent l'erreur de permissions direct. Même si tu utilises le rôle par défaut de l'instance, il faut que ce rôle ait les bonnes perms sur la clé KMS. T'as bien cloudkms.cryptoKeyEncrypterDecrypter sur la clé vault-key pour le service account de ton instance GCE?

olivie65 · Answer

Et le réseau? Vault a bien accès à l'API GCP KMS? Pas de firewall qui bloquerait la connexion vers cloudkms.googleapis.com? Ça peut être ça aussi, une bête erreur de connectivité

chevalier-david · Answer

J'ai checké les perms dans IAM, le SA de l'instance a bien le rôle Cloud KMS CryptoKey Encrypter/Decrypter sur la clé. Et le réseau est ouvert vers internet, j'ai même fait un curl vers cloudkms.googleapis.com depuis la VM, ça passe.

matthieu-pires · Answer

ok donc perms et réseau ok. la région et le keyring/key sont bien exacts dans ta config vault par rapport à ce que tu as dans gcp kms? des fois une faute de frappe ou une région différente ça peut induire en erreur

olivie65 · Answer

Regarde les logs d'audit dans Stackdriver pour GCP KMS. Tu devrais voir si les appels sont reçus et pourquoi ils sont refusés. Ça donne un indice précis sur ce que Vault essaye de faire et pourquoi GCP le bloque.

chevalier-david · Answer

omg c'était un truc bête mais vicieux. mon crypto_key était bon, mais j'avais oublié le full path dans mon fichier de config vault ! il faut le chemin complet /projects/mon-projet-gcp/locations/europe-west1/keyrings/vault-keyring/cryptokeys/vault-key. une fois corrigé, ça unseal direct. merci pour l'aide !

vault kms auto-unseal foireux sur gcp

6 commentaires

Laisser une réponse

Comprendre, Gérer et Manipuler un cluster Docker Swarm

Conclusion du cours Kubernetes

Les provisioners et taints

DevOps et méthodologie Agile

Mettre en place une architecture DRY sur GitLab CI

Rejoindre la communauté