Vault

HashiCorp Vault 是一款业内广泛使用的密钥管理平台，帮助组织安全地存储、访问和管控各类敏感数据，包括 API 令牌、密码、数据库凭证、证书以及加密密钥。它提供了统一的控制平面，能够通过 Web 界面（UI）、命令行工具（CLI）或 HTTP API 进行操作，适配不同技术栈的运维需求。

核心功能与特点

• 密钥/值引擎（KV Secrets Engine）：提供一个键值存储，用于保存任意静态密钥，是最基础且常用的密钥存储方式。
• 数据库动态凭证（Dynamic Secrets）：Vault 能够对接多种数据库，按需生成动态凭证，并在租期结束后自动吊销，降低凭证泄露风险。
• 加密即服务（EaaS）：通过 Transit 引擎对外提供加解密功能，无需将密钥暴露给应用，安全团队可统一管理加密策略。
• 静态数据加密：支持对存储在磁盘或对象存储中的数据进行加密保护，满足合规性要求。
• 租约与自动续期：所有密钥和凭证均有租期，到期自动失效，减少人工轮换的负担。

适用人群

• 运维工程师：管理基础设施、应用和数据库的访问凭证，实现零信任安全模型。
• 安全工程师：统一管控加密密钥，审计所有密钥操作，提升数据安全等级。
• 开发者：通过 API 或 SDK 集成密钥管理，避免在代码中硬编码敏感信息。
• DevOps 团队：在 CI/CD 流程中动态获取凭证，降低静态秘钥泄露风险。

使用方式

Vault 提供多种部署模式：自托管部署（开源版或企业版）以及托管的云服务 HCP Vault Dedicated。用户可以通过官方文档、交互式教程快速入门，并参加 HashiCorp 认证考试（Vault Associate、Operations Professional）以验证技能。Vault 还提供了沙箱环境，供学习者免费体验核心功能。

注意事项

• Vault 本身是一个“秘密存储”，其根密钥（Master Key）的安全性至关重要，建议使用 Shamir 密钥拆分或集成硬件安全模块（HSM）。
• 生产环境建议启用高可用模式（HA），并配置后端存储（如 Consul、Raft）以确保数据持久性。
• 动态凭证功能对数据库连接池有压测风险，需合理配置最大 TTL 和轮换频率。