VAULT
9 篇常见问题
VAULT 模块起什么作用？ VAULT 是整套 Pigsty 部署的 KMS（密钥管理服务）与机密存储。它主要服务于三类场景： 透明数据加密：为 PGSQL pg_tde 保存主密钥，数据盘与数据库备份泄露时，没有 VAULT 中的密钥就无法解密； 对象存储加密：为 MINIO（Silo）的 KES 服务端加密保存密钥； 业务机密管理：业务应用通过 KV、Transit 与 AppRole 保存与使用密码、API 密钥，或者调用加密服务。 前两种接入目前还需要手工配置，自动接入尚在开发中；第 …
VAULT 模块起什么作用？ VAULT 是整套 Pigsty 部署的 KMS（密钥管理服务）与机密存储。它主要服务于三类场景： 透明数据加密：为 PGSQL pg_tde 保存主密钥，数据盘与数据库备份泄露时，没有 VAULT 中的密钥就无法解密； 对象存储加密：为 MINIO（Silo）的 KES 服务端加密保存密钥； 业务机密管理：业务应用通过 KV、Transit 与 AppRole 保存与使用密码、API 密钥，或者调用加密服务。 前两种接入目前还需要手工配置，自动接入尚在开发中；第 …
指标列表
本页区分 OpenBao 遥测接口的原始指标 与 vmalert 计算生成的记录指标。当前源码的 files/victoria/rules/vault.yml 定义了 14 条记录规则；记录指标由规则求值得到，不应在 /v1/sys/metrics 接口中查找。 原始指标会随 OpenBao 版本、成员角色与运行状态变化。下文列出的是 Vault Overview 面板与记录规则用到的原始指标，并不代表遥测接口的完整输出，完整列表请参考 OpenBao 遥测指标文档。 标签模型 所有 VAULT …
本页区分 OpenBao 遥测接口的原始指标 与 vmalert 计算生成的记录指标。当前源码的 files/victoria/rules/vault.yml 定义了 14 条记录规则；记录指标由规则求值得到，不应在 /v1/sys/metrics 接口中查找。 原始指标会随 OpenBao 版本、成员角色与运行状态变化。下文列出的是 Vault Overview 面板与记录规则用到的原始指标，并不代表遥测接口的完整输出，完整列表请参考 OpenBao 遥测指标文档。 标签模型 所有 VAULT …
监控告警
VAULT 模块复用 Pigsty 的可观测性基座：OpenBao 指标经 HTTPS 采集进入 VictoriaMetrics，服务日志与备份日志经 Journald / Vector 进入 VictoriaLogs， vmalert 加载 14 条记录规则与 6 条告警规则，Grafana 提供一个 Vault Overview 监控面板。 监控面板 VAULT 模块提供了一个监控面板：Vault Overview。 Vault Overview Dashboard Vault …
VAULT 模块复用 Pigsty 的可观测性基座：OpenBao 指标经 HTTPS 采集进入 VictoriaMetrics，服务日志与备份日志经 Journald / Vector 进入 VictoriaLogs， vmalert 加载 14 条记录规则与 6 条告警规则，Grafana 提供一个 Vault Overview 监控面板。 监控面板 VAULT 模块提供了一个监控面板：Vault Overview。 Vault Overview Dashboard Vault …
使用方法
当您 配置 并执行 剧本 部署 VAULT 后，可以参考本页开始使用它。 VAULT 部署完成后默认启用了以下引擎与认证方式，可以直接供业务使用： 路径 类型 用途 secret/ KV v2 机密引擎 保存密码、API 密钥、证书等静态机密，支持多版本 transit/ Transit 机密引擎 加密即服务：应用把明文交给 VAULT 加解密，密钥永不离开 VAULT auth/approle/ AppRole 认证方式 为应用与自动化程序发放机器凭据 auth/token/ Token 认证 …
当您 配置 并执行 剧本 部署 VAULT 后，可以参考本页开始使用它。 VAULT 部署完成后默认启用了以下引擎与认证方式，可以直接供业务使用： 路径 类型 用途 secret/ KV v2 机密引擎 保存密码、API 密钥、证书等静态机密，支持多版本 transit/ Transit 机密引擎 加密即服务：应用把明文交给 VAULT 加解密，密钥永不离开 VAULT auth/approle/ AppRole 认证方式 为应用与自动化程序发放机器凭据 auth/token/ Token 认证 …
管理预案
以下是一些常见的 VAULT 管理任务 SOP（预案）： 创建集群：如何初始化 VAULT 集群？ 检查状态：如何查看集群、成员与 Raft 的状态？ 管理员凭据：如何安全地使用 root token？ 添加成员：如何向现有集群添加新成员，或从单节点扩容到三节点？ 移除成员：如何从集群中摘除老成员？ 重建成员：成员数据损坏或更换硬件时如何处理？ 更新配置：如何刷新配置与证书？ 备份：快照如何生成，如何手工备份与异地保存？ 恢复快照：如何回滚数据，或在数据全部丢失后重建集群？ 升级版本：如何升级 …
以下是一些常见的 VAULT 管理任务 SOP（预案）： 创建集群：如何初始化 VAULT 集群？ 检查状态：如何查看集群、成员与 Raft 的状态？ 管理员凭据：如何安全地使用 root token？ 添加成员：如何向现有集群添加新成员，或从单节点扩容到三节点？ 移除成员：如何从集群中摘除老成员？ 重建成员：成员数据损坏或更换硬件时如何处理？ 更新配置：如何刷新配置与证书？ 备份：快照如何生成，如何手工备份与异地保存？ 恢复快照：如何回滚数据，或在数据全部丢失后重建集群？ 升级版本：如何升级 …
预置剧本
VAULT 模块提供了两个剧本：vault.yml 用于创建、更新与扩容 VAULT 集群，vault-rm.yml 用于移除 VAULT 成员或整个集群。 此外还有两个便捷脚本 bin/vault-add 与 bin/vault-rm，对剧本做了简单封装。 vault.yml 剧本原始文件：vault.yml 执行本剧本，将会在硬编码的固定分组 vault 上安装、配置并启动 OpenBao 集群。剧本是幂等的：重复执行只会收敛配置差异，不会重新初始化集群。 在 vault.yml 中，提供了 …
VAULT 模块提供了两个剧本：vault.yml 用于创建、更新与扩容 VAULT 集群，vault-rm.yml 用于移除 VAULT 成员或整个集群。 此外还有两个便捷脚本 bin/vault-add 与 bin/vault-rm，对剧本做了简单封装。 vault.yml 剧本原始文件：vault.yml 执行本剧本，将会在硬编码的固定分组 vault 上安装、配置并启动 OpenBao 集群。剧本是幂等的：重复执行只会收敛配置差异，不会重新初始化集群。 在 vault.yml 中，提供了 …
参数列表
VAULT 模块的参数列表，共有 8 个参数，分为两个部分： VAULT：5 个参数，用于 VAULT 集群的部署与配置 VAULT_REMOVE：3 个参数，控制 VAULT 集群的移除 VAULT 刻意只开放很少的参数：集群模式由成员数推导，高可用入口复用 NODE 模块的 VIP 参数，其余端口、目录、引擎与备份策略都是 固定约定。 参数概览 VAULT 参数组用于 VAULT 集群的部署与配置，包括实例标识、集群名称、数据目录、端口以及服务域名。 参数 类型 级别 说明 …
VAULT 模块的参数列表，共有 8 个参数，分为两个部分： VAULT：5 个参数，用于 VAULT 集群的部署与配置 VAULT_REMOVE：3 个参数，控制 VAULT 集群的移除 VAULT 刻意只开放很少的参数：集群模式由成员数推导，高可用入口复用 NODE 模块的 VIP 参数，其余端口、目录、引擎与备份策略都是 固定约定。 参数概览 VAULT 参数组用于 VAULT 集群的部署与配置，包括实例标识、集群名称、数据目录、端口以及服务域名。 参数 类型 级别 说明 …
集群配置
在部署 VAULT 之前，你需要在 配置清单 中定义固定名称的 vault 分组。VAULT 没有 profile 一类的模式参数，集群模式完全由 vault 分组的成员数推导： 单节点：没有高可用，适用于开发、测试、演示与沙箱 三节点：可以容忍一个成员故障，配合 L2 VIP 提供高可用入口，适用于生产环境 两节点：可以运行，但没有容错能力，按单节点对待 成员数 仲裁数 容忍故障数 模式 服务入口 1 1 0 实验 vault.pigsty 指向该成员 2 2 0 警告 任意一个成员故障都会失 …
在部署 VAULT 之前，你需要在 配置清单 中定义固定名称的 vault 分组。VAULT 没有 profile 一类的模式参数，集群模式完全由 vault 分组的成员数推导： 单节点：没有高可用，适用于开发、测试、演示与沙箱 三节点：可以容忍一个成员故障，配合 L2 VIP 提供高可用入口，适用于生产环境 两节点：可以运行，但没有容错能力，按单节点对待 成员数 仲裁数 容忍故障数 模式 服务入口 1 1 0 实验 vault.pigsty 指向该成员 2 2 0 警告 任意一个成员故障都会失 …
模块：VAULT
OpenBao 是 HashiCorp Vault 改为 BSL 许可证之后，由社区分叉并在 Linux 基金会托管的开源密钥与机密管理系统（MPL-2.0），API 与 Vault 基本兼容。 Pigsty 的 VAULT 模块在固定分组 vault 上部署一套 OpenBao 集群，作为整套部署的 KMS（密钥管理服务）与机密存储，由 Pigsty 统一管理 TLS、自动解封、高可用入口、备份、监控与生命周期。 当前状态：Beta 模块 VAULT 模块处于 Beta 状态：服务端的部署、扩 …
OpenBao 是 HashiCorp Vault 改为 BSL 许可证之后，由社区分叉并在 Linux 基金会托管的开源密钥与机密管理系统（MPL-2.0），API 与 Vault 基本兼容。 Pigsty 的 VAULT 模块在固定分组 vault 上部署一套 OpenBao 集群，作为整套部署的 KMS（密钥管理服务）与机密存储，由 Pigsty 统一管理 TLS、自动解封、高可用入口、备份、监控与生命周期。 当前状态：Beta 模块 VAULT 模块处于 Beta 状态：服务端的部署、扩 …