S 호환 스냅샷 저장소에 대한 AWS 자격 증명 3Ops Manager 애플리케이션 데이터베이스 또는 HashiCorp Vault 에 저장 수 있습니다. 키 볼트에 자격 증명 저장 하면 Ops Manager 온디맨드 방식으로 HashiCorp Vault에서 자격 증명을 가져옵니다. 온디맨드 검색을 통해 민감한 자격 증명 중앙 집중화, 순환, 감사 할 수 있습니다.
Ops Manager HashiCorp Vault 및 로컬 자격 증명 저장 지원합니다. 각 S3호환 스냅샷 저장소 에 사용할 방법을 선택합니다.
자격 증명 저장 옵션
Ops Manager S3호환 스냅샷 저장소 위한 두 가지 자격 증명 저장 위치를 지원합니다.
저장 위치 | 설명 |
|---|---|
AppDB | Ops Manager Ops Manager 애플리케이션 데이터베이스 에 AWS 액세스 키와 비밀 키를 저장합니다. AppDB는 기본값 방법이며 HashiCorp Vault가 필요하지 않습니다. |
키 볼트 | Ops Manager 온디맨드 방식으로 HashiCorp Vault에서 AWS 액세스 키와 비밀 키를 읽습니다. Ops Manager 시크릿 값이 아닌 각 시크릿의 경로만 저장합니다. |
보안 또는 감사 요구 사항으로 인해 중앙 집중식 비밀 관리자가 필요한 경우 Key Vault를 사용하세요. HashiCorp Vault를 사용하지 않을 때는 AppDB를 사용하세요.
Ops Manager HashiCorp Vault를 사용하는 방법
S3호환 스냅샷 저장소 자격 증명 에 HashiCorp Vault를 사용하려면 두 가지 구성 작업을 완료해야 합니다.
HashiCorp Vault 서버 에 대한 연결 및 인증 세부 정보를 저장하는 Key Vault 구성을 만듭니다. 방법을 학습 스냅샷 저장소용 Key Vault 구성을 참조하세요.
키 볼트를 사용하도록 S3 호환 스냅샷 저장소 구성합니다. 키 볼트, AWS 액세스 키 경로,AWS 비밀 키 경로를 지정합니다. Ops Manager 키 볼트에서 자격 증명 읽어 AWS S 로3 전달합니다. 방법을 학습 1개의 S 호환 스냅샷3저장소 추가를 참조하세요.
Ops Manager 토큰 또는 JWT를 사용하여 HashiCorp Vault에 인증합니다. 그런 다음 Ops Manager 스냅샷 저장소 에 지정한 비밀 경로에서 AWS 액세스 키와 비밀 키를 읽습니다. 각 경로를 <secret-path>/<key> 형식으로 제공합니다.
자격 증명 검색 및 캐싱
Ops Manager HashiCorp Vault에서 AWS 액세스 키와 비밀 키를 읽고 메모리에 캐시합니다. Ops Manager 이러한 자격 증명 Ops Manager 애플리케이션 데이터베이스 에 저장 하지 않습니다.
기본값 으로 Ops Manager 캐시된 자격 증명을 5분마다 새로 고칩니다. 이 간격을 변경하려면 mms.keyVault.secret.cacheSoftTtlMs 속성 을 설정하다 .
Ops Manager 캐시된 자격 증명을 새로 고칠 때 HashiCorp Vault를 사용할 수 없는 경우, Ops Manager 마지막으로 알려진 자격 증명을 계속 사용하고 이벤트 기록하므로 기존 백업이 계속됩니다. 캐시된 자격 증명이 없고 Ops Manager HashiCorp Vault에 연결할 수 없는 경우 자격 증명이 필요한 작업이 실패합니다.
중요
Ops Manager 특히 HashiCorp Vault 가용성에 대한 경고 가 없습니다. 볼트에 연결할 수 없고 캐시된 자격 증명이 남아 있지 않은 경우, 그로 인한 백업 실패는 실패한 백업 작업 에 적용 것과 동일한 백업 경고를 트리거하다 . 이를 수신하도록 백업 경고를 구성합니다.방법을 학습 경고 설정 구성을 참조하세요.
Ops Manager 키 볼트를 사용하는 S3호환 스냅샷 저장소 유효성을 검사하고 S3 가 401 또는 403 오류를 반환하면, Ops Manager HashiCorp Vault에서 자격 증명 한 번 새로 고침한 후 다시 시도합니다. 재시도도 실패하면 Ops Manager 오류를 반환하고 유효성 검사 에 실패합니다.
보안
Ops Manager 다음과 같이 HashiCorp Vault 인증 세부 정보를 보호합니다.
Ops Manager Ops Manager 통합에 사용하는 것과 동일한 방법으로
gen.key파일 사용하여 미사용 볼트 인증 시크릿을 암호화합니다.Ops Manager API 응답 및 Ops Manager 콘솔에서 볼트 인증 비밀과 모든 사용자 지정 인증서를 삭제합니다. Ops Manager 저장된 값 대신
[REDACTED]을(를) 반환합니다.
요구 사항:
S3호환 스냅샷 저장소 자격 증명 에 HashiCorp Vault를 사용하려면 다음이 필요합니다.
연결 가능한 HashiCorp Vault 배포서버.
Ops Manager AWS 자격 증명 에 대한 읽기 전용 액세스 액세스 부여하는 볼트 정책, 역할 및 비밀 경로입니다.
Ops Manager, 백업 디먼, HashiCorp Vault 간의 안전하고 안정적인 네트워크 연결입니다.
기존 스냅샷 저장소를 HashiCorp Vault로 마이그레이션
기존 S3호환 스냅샷 저장소 로컬 자격 증명 에서 HashiCorp Vault로 전환하려면 다음을 수행합니다.