Size: a a a

2020 August 21

KK

Kirill K in ru_hashicorp
Друзья, а подскажите, как мне из Vault раскладывать секреты на 10 однотипных окружений

Вот есть тестовые окружения, в них 90% данных одинаковые, но есть отличия (доступы к базам и т.п.)
Я не хотел бы держать дубли в vault и напрашивается такая структура

├── development
│   ├── default
│   │   ├── bar
│   │   ├── baz
│   │   └── foo
│   ├── env1
│   │   └── foo
│   └── env2
│       └── bar


Если в целом идея верная, то вот тут я спотыкаюсь на том, что не понимаю как в vault сделать условно:

if exists development/env2/secre:
 development/env2/secret
else:
 development/default/secret


Куда копать?
источник

E

Elenhil in ru_hashicorp
Kirill K
Друзья, а подскажите, как мне из Vault раскладывать секреты на 10 однотипных окружений

Вот есть тестовые окружения, в них 90% данных одинаковые, но есть отличия (доступы к базам и т.п.)
Я не хотел бы держать дубли в vault и напрашивается такая структура

├── development
│   ├── default
│   │   ├── bar
│   │   ├── baz
│   │   └── foo
│   ├── env1
│   │   └── foo
│   └── env2
│       └── bar


Если в целом идея верная, то вот тут я спотыкаюсь на том, что не понимаю как в vault сделать условно:

if exists development/env2/secre:
 development/env2/secret
else:
 development/default/secret


Куда копать?
а тебе сувать или оставать?
источник

E

Elenhil in ru_hashicorp
прост как я понимаю, в самом волта автодоставание "если есть секрет А, то его, а если нет, то секрет Б" - не сделать. Только на уровне приложения
источник

KK

Kirill K in ru_hashicorp
Elenhil
прост как я понимаю, в самом волта автодоставание "если есть секрет А, то его, а если нет, то секрет Б" - не сделать. Только на уровне приложения
Ага, вот надеялся оно как-то реализуемо :(
источник

E

Elenhil in ru_hashicorp
я не эксперт, но имхо нет. Ну на уровне приложения это делается в 2 строчки
источник

KK

Kirill K in ru_hashicorp
У меня нет интеграции приложения с hashi-стеком и в обозримом будущем не будет
Вот конкретно эти конфиги через consul-template какой-то собирался генерировать

Но видимо придётся писать собственный скрипт, который предварительно сгенерит правильный шаблон для consul-template %)
источник

E

Elenhil in ru_hashicorp
Kirill K
У меня нет интеграции приложения с hashi-стеком и в обозримом будущем не будет
Вот конкретно эти конфиги через consul-template какой-то собирался генерировать

Но видимо придётся писать собственный скрипт, который предварительно сгенерит правильный шаблон для consul-template %)
консул темплейт может и в вытаскивание из волта
источник

E

Elenhil in ru_hashicorp
{{ with $secret  := secret "foo/bar" }} {{.Data.value}} {{end}}
источник

E

Elenhil in ru_hashicorp
ифы в консул темплейте тоже есть (хоть и всратые)
источник

E

Elenhil in ru_hashicorp
источник

E

Elenhil in ru_hashicorp
ну или да, пускать консул-темплейт ансиблом\седом, который подменяет нужные места
источник

KK

Kirill K in ru_hashicorp
Elenhil
{{ with $secret  := secret "foo/bar" }} {{.Data.value}} {{end}}
А вот этот путь, который для секрета - я заранее не знаю
Мне надо, чтобы если существует, то был env1/bar, а если его нет, то default/bar

Спасибо за ссылку, почитаю :)
источник

E

Elenhil in ru_hashicorp
Kirill K
А вот этот путь, который для секрета - я заранее не знаю
Мне надо, чтобы если существует, то был env1/bar, а если его нет, то default/bar

Спасибо за ссылку, почитаю :)
ну я к тому что это осуществимо, хоть и относительно всрато
источник

KK

Kirill K in ru_hashicorp
Elenhil
ну я к тому что это осуществимо, хоть и относительно всрато
Спасибо, попробую!
источник

E

Elenhil in ru_hashicorp
Kirill K
Спасибо, попробую!
вот пример костыльный
источник

E

Elenhil in ru_hashicorp
источник

E

Elenhil in ru_hashicorp
но хотя да, я бы наверное унес это дело во враппер
источник

BG

Bogdan (SirEdvin) Gl... in ru_hashicorp
Хм ... а получается, consul-template по хорошему нужно запускать по одному на сервис? Или как правильно сваливать в него кучу разнообразных конфигов?
источник

E

Elenhil in ru_hashicorp
хз, мы номадом оркестрируем, у нас в этом плане все ок
источник

BG

Bogdan (SirEdvin) Gl... in ru_hashicorp
@freeseacher а я же правильно понимаю, что remco не очень дружит с consul'ом в плане service discovery логики?
источник