HashiCorp Vault ile Modern Sistemlerde Gizli Bilgi Yönetimi: Dinamik ve Güvenli Yaklaşımlar

Dağıtık sistem mimarileri, mikroservisler ve bulut tabanlı altyapılar, geleneksel gizli bilgi yönetim yaklaşımlarını yetersiz kılmaktadır. Sabit kodlanmış parolalar, yapılandırma dosyalarında tutulan API anahtarları veya veritabanı kimlik bilgileri, günümüzün siber güvenlik tehditleri karşısında kabul edilemez riskler oluşturur. Bu durum, merkezi, dinamik ve yaşam döngüsü yönetilebilir bir gizli bilgi çözümünü zorunlu kılar. HashiCorp Vault, bu zorlukları aşmak için tasarlanmış güçlü bir araçtır.

HashiCorp Vault Nedir ve Neden Önemlidir?

HashiCorp Vault, hassas bilgilere erişimi güvenli bir şekilde depolamak, yönetmek ve denetlemek için tasarlanmış merkezi bir sır yönetim platformudur. Temel olarak bir API üzerinden çalışan Vault, çeşitli gizli bilgi türlerini (API anahtarları, veritabanı kimlik bilgileri, X.509 sertifikaları, SSH anahtarları vb.) şifrelenmiş bir depoda tutar ve sadece yetkilendirilmiş uygulamaların veya kullanıcıların erişimine izin verir. Vault'un en kritik özelliği, statik sırların ötesine geçerek dinamik sır üretebilmesidir. Bu sayede, her erişim talebi için kısa ömürlü, benzersiz kimlik bilgileri oluşturulabilir ve bu da saldırı yüzeyini önemli ölçüde azaltır.

Vault'un Temel Bileşenleri ve Çalışma Prensibi

Secret Engines (Gizli Bilgi Motorları)

Secret Engine'ler, Vault'un farklı türdeki gizli bilgileri yönetmesini sağlayan modüler bileşenlerdir. Her motor, belirli bir sır türü veya dış sistemle etkileşim kurmak için özelleşmiştir. Örneğin:

• KV Secret Engine: Anahtar-değer çiftlerini depolamak için kullanılır. Statik sırların güvenli bir şekilde saklanması için idealdir.
• Database Secret Engine: Veritabanları için dinamik, kısa ömürlü kimlik bilgileri oluşturur. Bir uygulama veritabanına her bağlandığında yeni bir kullanıcı/şifre çifti üretebilir.
• AWS Secret Engine: AWS IAM kullanıcıları, rolleri ve geçici güvenlik kimlik bilgileri oluşturur ve yönetir.
• PKI Secret Engine: Sertifika yetkilisi (CA) işlevi görerek X.509 sertifikaları ve anahtarları dinamik olarak üretebilir.

KV Secret Engine'ı etkinleştirme ve kullanma örneği:

vault secrets enable -path=kv-uygulama kv-v2vault kv put kv-uygulama/myapp/production db_username=produser db_password="$(openssl rand -base64 12)"api_key=your_api_keyvault kv get kv-uygulama/myapp/production

Yukarıdaki komutlar, kv-uygulama adında bir KV v2 secret engine'ı etkinleştirir, ardından myapp/production yoluna veritabanı kullanıcı adı, parolası ve API anahtarı gibi sırları yazar. Son komut ile bu sırları okuyabilirsiniz. Dinamik sır motorları ise her okuma işleminde benzersiz kimlik bilgileri döndürür.

Authentication Methods (Kimlik Doğrulama Yöntemleri)

Vault'a kimlerin veya nelerin erişebileceğini belirlemek için çeşitli kimlik doğrulama yöntemleri kullanılır. Bu yöntemler, insan kullanıcılar veya makine kimlikleri (uygulamalar, servisler) için farklı mekanizmalar sunar:

• Token Auth Method: Vault'un yerel token sistemidir. Genellikle ilk erişim için veya diğer auth yöntemlerini yapılandırmak için kullanılır.
• AppRole Auth Method: Makine kimlikleri için tasarlanmıştır. Bir uygulama, belirli bir Role ID ve Secret ID kullanarak Vault'a kimlik doğrular.
• Kubernetes Auth Method: Kubernetes servis hesaplarını kullanarak pod'ların Vault'a kimlik doğrulamasına olanak tanır.
• AWS Auth Method: AWS IAM rolleri veya EC2 instance kimlik bilgilerini kullanarak kimlik doğrulamayı sağlar.

AppRole auth yöntemini yapılandırma ve kimlik doğrulama örneği:

vault auth enable approle  vault write auth/approle/role/backend-app token_policies="backend-policy" token_ttl=1h token_max_ttl=2h  vault read auth/approle/role/backend-app/role-id  vault write -f auth/approle/role/backend-app/secret-idvault write auth/approle/login role_id="<role_id>" secret_id="<secret_id>"

Bu adımlar, backend-app rolünü oluşturur, ona bir politika atar ve token yaşam sürelerini belirler. Ardından, bu role ait role_id ve secret_id değerlerini alırız. Uygulamalar bu iki değeri kullanarak Vault'a kimlik doğrular ve bir Vault token'ı edinir.

Policies (Yetkilendirme Politikaları)

Vault'taki yetkilendirme, HCL (HashiCorp Configuration Language) veya JSON formatında yazılan politikalar aracılığıyla yönetilir. Politikalar, bir kimliğin hangi sır yollarına (path) hangi yetkilerle (okuma, yazma, güncelleme, silme, listeleyebilme) erişebileceğini tanımlar. Minimum yetki prensibini uygulamak esastır.

Örnek bir politika tanımı (backend-policy.hcl):

path "kv-uygulama/myapp/production" {  capabilities = ["read"]}path "aws/creds/my-app-role" {  capabilities = ["read"]}

Bu politika, kv-uygulama/myapp/production yolundaki sırları sadece okuma yetkisi verir ve aws/creds/my-app-role yolundan AWS kimlik bilgilerini okumaya izin verir. Bu politikayı Vault'a yüklemek için:

vault policy write backend-policy backend-policy.hcl

Lease, Revocation ve Renewal (Kiralama, İptal ve Yenileme)

Vault'un dinamik sırlarının temelini oluşturan bu konseptler, gizli bilgilerin yaşam döngüsünü yönetir. Her dinamik sır, belirli bir lease (kiralama) süresi ile verilir. Bu süre sonunda sır otomatik olarak geçersiz hale gelir. Bir sırın süresi dolmadan önce renewal (yenileme) işlemi ile yaşam süresi uzatılabilir. Bir sırın acilen devre dışı bırakılması gerektiğinde ise revocation (iptal) işlemi ile anında geçersiz kılınabilir. Bu mekanizmalar, olası bir güvenlik ihlali durumunda maruz kalma süresini minimize eder.

Üretim Senaryoları ve Pratik Kullanım

CI/CD Süreçlerinde Dinamik Veritabanı Kimlik Bilgileri

Bir CI/CD pipeline'ında (örneğin GitLab CI), bir uygulama testi çalıştırılırken geçici bir test veritabanına erişim gerekebilir. Geleneksel olarak bu, statik bir kullanıcı adı ve parola ile yapılır ve bu bilgiler genellikle pipeline değişkenlerinde saklanır. Bu durum hem güvenlik riskleri taşır hem de manuel rotasyon gerektirir.

Vault ile bu süreç şöyle işler:

1. CI/CD runner, bir AppRole veya Kubernetes Auth metodunu kullanarak Vault'a kimlik doğrular ve bir token alır.
2. Bu token ile Vault'un Database Secret Engine'ından, test veritabanı için geçici bir kullanıcı adı ve parola talep eder.
3. Vault, veritabanında yeni bir kullanıcı oluşturur (örneğin vault_test_user_<hash>) ve bu kimlik bilgilerini runner'a döner.
4. Runner, bu kimlik bilgilerini kullanarak testleri çalıştırır.
5. Testler tamamlandığında veya lease süresi dolduğunda, Vault otomatik olarak veritabanındaki geçici kullanıcıyı siler.

Bu yaklaşım, her pipeline çalıştırması için benzersiz ve kısa ömürlü kimlik bilgileri sağlayarak güvenlik duruşunu önemli ölçüde güçlendirir ve kimlik bilgisi sızıntısı riskini ortadan kaldırır.

Microservices Ortamlarında AWS IAM Kimlik Bilgilerinin Yönetimi

Bir mikroservis mimarisinde, her servisin belirli AWS kaynaklarına (örneğin S3, SQS, DynamoDB) erişmesi gerekebilir. Her servise uzun ömürlü IAM anahtarları vermek yerine, Vault'un AWS Secret Engine'ı kullanılarak dinamik IAM kimlik bilgileri sağlanır.

Senaryo:

1. Bir mikroservis, başlatıldığında Kubernetes Auth veya AppRole ile Vault'a kimlik doğrular.
2. Servis, Vault'tan aws/creds/s3-writer-role gibi önceden tanımlanmış bir rol için geçici AWS IAM anahtarları (AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY, AWS_SESSION_TOKEN) ister. Bu rol, sadece belirli S3 bucket'larına yazma iznine sahiptir.
3. Vault, AWS'de geçici bir IAM kullanıcısı ve ona atanmış kısa ömürlü anahtarları oluşturur ve servise döner.
4. Servis bu anahtarları kullanarak S3'e erişir.
5. Anahtarların lease süresi dolduğunda, Vault bu IAM kullanıcısını ve anahtarlarını otomatik olarak iptal eder.

Vault AWS Secret Engine yapılandırma ve rol tanımlama örneği:

vault secrets enable aws  vault write aws/config/root access_key="<ROOT_ACCESS_KEY>" secret_key="<ROOT_SECRET_KEY>" region="us-east-1"  vault write aws/roles/s3-writer-role \  credential_type="iam_user" \  policy_arns="arn:aws:iam::aws:policy/AmazonS3FullAccess" \  max_ttl="1h"

Burada <ROOT_ACCESS_KEY> ve <ROOT_SECRET_KEY>, Vault'un AWS ile etkileşim kurmak için kullandığı anahtarlardır (bu anahtarların kendisi başka bir Vault örneğinde saklanabilir veya güvenli bir şekilde sağlanmalıdır). s3-writer-role adında bir rol tanımlanır ve bu rolü isteyen her kimlik için AmazonS3FullAccess politikasına sahip geçici bir IAM kullanıcısı oluşturulur ve 1 saat sonra otomatik olarak silinir.

Kubernetes Entegrasyonu ile Uygulama Sırlarının Otomatik Enjeksiyonu

Kubernetes ortamlarında uygulamaların Vault'tan sırları güvenli bir şekilde alması için Vault Agent Injector kullanılabilir. Bu, uygulamaların sırları doğrudan kendilerinin Vault'tan çekmesi yerine, bir sidecar container veya init container aracılığıyla otomatik olarak ortamlarına enjekte edilmesini sağlar.

Bir Kubernetes deployment YAML'ında Vault annotation örneği:

apiVersion: apps/v1kind: Deploymentmetadata:  name: my-appspec:  selector:    matchLabels:      app: my-app  template:    metadata:      labels:        app: my-app      annotations:        vault.hashicorp.com/agent-inject: "true"        vault.hashicorp.com/role: "my-app-role"        vault.hashicorp.com/agent-inject-template-config: |          {{- with secret "kv-uygulama/myapp/production" -}}          DB_USERNAME="{{ .Data.data.db_username }}"          DB_PASSWORD="{{ .Data.data.db_password }}"          {{- end -}}    spec:      serviceAccountName: my-app-sa      containers:        - name: my-app          image: my-app-image:1.0          env:            - name: DB_USERNAME              valueFrom:                secretKeyRef:                  name: vault-env                  key: DB_USERNAME            - name: DB_PASSWORD              valueFrom:                secretKeyRef:                  name: vault-env                  key: DB_PASSWORD

Yukarıdaki Kubernetes deployment tanımı, vault.hashicorp.com/agent-inject: "true" annotation'ı sayesinde Vault Agent Injector'ı tetikler. Injector, my-app-sa servis hesabını kullanarak Vault'a kimlik doğrular, kv-uygulama/myapp/production yolundan sırları çeker ve bu sırları vault-env adında bir Kubernetes Secret'a dönüştürerek uygulamanın ortam değişkenleri olarak kullanılmasını sağlar. Bu sayede uygulama kodu Vault ile doğrudan etkileşime girmeden sırlarına erişebilir.

Sonuç

HashiCorp Vault, modern, dağıtık ve bulut tabanlı altyapılarda gizli bilgi yönetiminin temel taşlarından biridir. Dinamik sır üretimi, gelişmiş kimlik doğrulama mekanizmaları, ayrıntılı yetkilendirme politikaları ve sırların yaşam döngüsü yönetimi sayesinde, güvenlik duruşunu önemli ölçüde güçlendirirken operasyonel yükü azaltır. Üretim ortamlarında Vault'un doğru entegrasyonu, sıfır güven (zero-trust) prensiplerini uygulamak ve hassas verilere erişimi sıkı bir şekilde kontrol etmek için vazgeçilmez bir araçtır. Geleneksel yöntemlerin aksine, Vault ile yönetilen sırlar, otomatik rotasyon ve kısa ömürlü yapılarla siber tehditlere karşı çok daha dirençli hale gelir.