Vault : Perte de scellage automatique après redémarrage

dominique-delahaye 28/10/2024
RÉSOLU
dominique-delahaye
Auteur Actif
Avatar de dominique-delahaye
dominique-delahaye
Auteur Actif

yo les pros du secops

on a un cluster vault hcl vault avec un backend s3 et kms pour l'auto-unseal mais régulièrement après un redémarrage de la vm vault se retrouve scellé et je dois le désopérer manuellement. ça me rend fou, la config de seal est ok normalement. des idées ?


seal "awskms" {
  region     = "eu-west-1"
  kms_key_id = "arn:aws:kms:eu-west-1:123456789012:key/abcdefgh-ijkl-mnop-qrst-uvwxyzabcdef"
}
storage "s3" {
  bucket     = "vault-storage-bucket"
  region     = "eu-west-1"
  endpoint   = "s3.eu-west-1.amazonaws.com"
}
28/10/2024 à 13:09

4 commentaires

chevalier-marcel
Membre Actif
Avatar de chevalier-marcel
chevalier-marcel
Membre Actif

salut

première chose t'as vérifié les permissions iam de l'instance qui host vault ? il faut que le rôle attaché à l'instance ait les droits pour utiliser la clé kms et aussi les droits sur le bucket s3. un vault operator init pour voir les clés root est pas la même chose qu'un auto-unseal derrière

29/10/2024 à 09:32
juliette90
Membre
Avatar de juliette90
juliette90
Membre

ouais les perms c'est la base. mais aussi check les logs de vault au démarrage y a ptete un indice sur pourquoi il arrive pas à l'unseal. est-ce qu'il y a un souci de connectivité vers kms ou s3 au moment du boot ? des fois un startup script qui attend pas la dispo réseau complète

30/10/2024 à 06:03
martin-catherine
Membre Actif Secouriste
Avatar de martin-catherine
martin-catherine
Membre Actif Secouriste

yo

j'ai eu un cas similaire où c'était le fichier de config vault qui était mal chargé au redémarrage ou alors un systemd unit qui démarrait vault trop tôt avant que tout l'env aws soit bien prêt. t'as un After=network-online.target ou équivalent dans ton service file

31/10/2024 à 04:10
dominique-delahaye
Auteur Actif
Avatar de dominique-delahaye
dominique-delahaye
Auteur Actif

bingo ! c'était les logs effectivement un message "could not initialize seal configuration" et ça venait d'un systemd service qui démarrait avant l'init du rôle IAM complet sur l'instance. j'ai mis un ExecStartPre=/usr/bin/timeout 30 /bin/bash -c "while ! curl -s http://169.254.169.254/latest/meta-data/iam/security-credentials/ > /dev/null; do sleep 1; done" et ça marche nickel maintenant

01/11/2024 à 00:51

Laisser une réponse

Vous devez être connecté pour poster un message !

Rejoindre la communauté

Recevoir les derniers articles gratuitement en créant un compte !

S'inscrire