您可以将 S 兼容快照存储的3 AWS凭证存储在Ops Manager应用程序数据库或 HashiCorp Vault 中。 当您将凭证存储在密钥保管库中时， Ops Manager会按需从 HashiCorp Vault 获取凭证。按需检索可帮助您集中、轮换和Atlas 审核敏感凭证。
Ops Manager支持 HashiCorp Vault 和本地档案存储。您可以选择对每个 S3 兼容快照存储使用哪种方法。
档案存储选项
Ops Manager支持 S3 兼容快照存储的两个档案存储位置：
存储位置 | 说明 |
|---|---|
AppDB | Ops Manager将 AWS访问权限密钥和密钥存储在Ops Manager应用程序数据库中。 AppDB 是默认方法，不需要 HashiCorp Vault。 |
密钥保管库 | Ops Manager按需从 HashiCorp Vault 读取 AWS访问权限密钥和密钥。 Ops Manager仅存储每个密钥的路径，而不存储密钥值。 |
当您的安全或Atlas 审核要求需要集中式密钥管理器时，请使用密钥保管库。在不使用 HashiCorp Vault 时使用 AppDB。
Ops Manager如何使用 HashiCorp Vault
要将 HashiCorp Vault 用于与 S3 兼容的快照存储凭证，您必须完成两项配置任务：
创建密钥保管库配置，用于存储 HashiCorp Vault服务器的连接和身份验证详细信息。要学习；了解如何操作，请参阅 为快照存储配置密钥保管库。
配置 S3 兼容快照存储以使用密钥保管库。您可以指定密钥保管库、AWS访问权限密钥的路径和 AWS 密钥的路径。 Ops Manager从密钥保管库读取凭证并将其传递给 AWS S3 。要学习；了解操作方法，请参阅添加一个 S3 兼容的快照存储。
Ops Manager使用令牌或 JWT 向 HashiCorp Vault 进行身份验证。然后， Ops Manager从您为快照存储指定的密钥路径中读取 AWS访问权限密钥和密钥。您以 <secret-path>/<key>的形式提供每条路径。
档案检索和缓存
Ops Manager从 HashiCorp Vault 读取 AWS访问权限密钥和密钥并将其缓存在内存中。 Ops Manager不会将这些凭证存储在Ops Manager应用程序数据库中。
默认下， Ops Manager每五分钟刷新一次缓存的档案。要更改此时间间隔，设立mms.keyVault.secret.cacheSoftTtlMs属性。
如果在Ops Manager刷新缓存的档案时 HashiCorp Vault 不可用， Ops Manager将继续使用最后一个已知的档案并记录事件，以便现有备份继续。如果不存在缓存的档案，并且Ops Manager无法访问 HashiCorp Vault，则需要该档案的操作将失败。
重要
Ops Manager没有专门针对 HashiCorp Vault 可用性的警报。如果保管库变得无法访问并且没有保留缓存的档案，则由此产生的备份失败触发应用于任何失败备份作业的相同备份警报。配置备份警报以接收警报。要学习；了解如何操作，请参阅配置警报设置。
当Ops Manager验证使用密钥保管库的与 S3 兼容的快照存储并且 S3 返回 401 或 403 错误时， Ops Manager会从 HashiCorp Vault 刷新凭证一次，然后重试。如果重试也失败，Ops Manager返回错误，验证失败。
安全性
Ops Manager按以下方式保护您的 HashiCorp Vault身份验证详细信息：
Ops Manager使用
gen.key文件对 Vault身份验证密钥进行静态加密，这与Ops Manager用于其他集成的方法相同。Ops Manager编辑API响应和Ops Manager控制台中的 Vault身份验证密钥和任何自定义证书。 Ops Manager返回
[REDACTED]而不是存储的值。
要求
要将 HashiCorp Vault 用于与 S3 兼容的快照存储凭证，您需要：
将现有快照存储迁移到 HashiCorp Vault
要将现有的 S3 兼容快照存储从本地凭证切换到 HashiCorp Vault，请执行以下操作：
编辑 S3 兼容快照存储，并将其档案存储位置设立为密钥保管库，如编辑一个现有的 S 3兼容快照存储中所述。