Vault pas content avec le TLS mutualisé sur K8s

Question

salut les pros j'essaie de configurer Vault avec du mTLS pour un client mais ça part en cacahuète. mon client K8s doit s'authentifier à Vault via un certificat, mais Vault refuse la connexion TLS. j'ai des erreurs de type `x509: certificate signed by unknown authority`. j'ai bien monté le CA dans Vault pour qu'il reconnaisse les certs clients.
# partie de ma config Vault TLS
listener "tcp" {
  address = "0.0.0.0:8200"
  tls_disable = false
  tls_cert_file = "/vault/tls/vault.crt"
  tls_key_file = "/vault/tls/vault.key"
  tls_client_ca_file = "/vault/tls/ca.crt"
  tls_require_and_verify_client_cert = true
}

antoine-gay · Answer

yo. si t'es sur k8s et que t'as un ingress controller devant Vault, c'est lui le coupable. beaucoup de ingress controllers (nginx, traefik) terminent le TLS et ne transmettent pas le certificat client à Vault par défaut. il faut que l'ingress soit configuré pour passer le cert client.

martin-hubert · Answer

on est sur Nginx Ingress Controller. j'ai mis les annotations pour les secrets TLS classiques mais je pensais que c'était suffisant. il faut faire quoi pour le cert client ?

matthieu-bonnin · Answer

pour Nginx Ingress, tu dois ajouter des annotations spécifiques pour le mTLS. principalement `nginx.ingress.kubernetes.io/auth-tls-verify-client: "on"` et `nginx.ingress.kubernetes.io/auth-tls-secret` qui pointe vers le secret avec ton CA client. Sans ça Nginx fait pas passer le cert client à Vault.

martin-hubert · Answer

ah ouais merde j'avais complètement zappé l'annotation `auth-tls-verify-client`. je la rajoute et je re-teste. je vous tiens au jus.

antoine-gay · Answer

ouais c'est la clé. l'ingress doit être configuré pour *demander* et *transmettre* le certificat client. sinon Vault voit pas le cert et te jette.

martin-hubert · Answer

VOILÀ ! C'était bien ça. J'ai ajouté l'annotation et c'est passé nickel. Vault reçoit bien le cert client. Merci les gars, vous me sauvez la mise !

Vault pas content avec le TLS mutualisé sur K8s

Commentaires

Laisser une réponse

La programmation orientée objet dans le langage de programmation Go

Introduction du cours pour apprendre le langage programmation GO

Créez vos propres modules ansible

Rejoindre la communauté