Déployer un cluster HashiCorp Vault hautement disponible avec auto-unseal et backend Consul

HashiCorp Vault est la solution standard de gestion de secrets. Ce guide explique comment créer un cluster Vault en haute disponibilité, configuré pour auto-unseal via AWS KMS et utilisant Consul comme backend de stockage.

• Consultez l'introduction à Vault
• Apprenez la gestion des secrets
• Utilisez Consul comme backend

• Trois nœuds Linux (Debian/Ubuntu ou RHEL/CentOS)
• Clé AWS KMS et permissions IAM
• Cluster Consul existant ou en cours de provisionnement

Sur chaque nœud :

sudo apt update
sudo apt install -y vault consul

Éditez /etc/vault.d/storage-consul.hcl :

storage "consul" {
  address = "127.0.0.1:8500"
  path    = "vault/"
}

Créez /etc/vault.d/unseal-aws.hcl :

seal "awskms" {
  region     = "us-east-1"
  kms_key_id = "arn:aws:kms:us-east-1:123456789012:key/abcd-efgh-ijkl"
}

Assurez-vous que la VM possède un rôle IAM avec kms:Decrypt.

/etc/vault.d/vault.hcl :

listener "tcp" {
  address     = "0.0.0.0:8200"
  tls_disable = 1
}

api_addr = "https://vault.example.com:8200"
cluster_addr = "https://vault.example.com:8201"

ha_enabled = true

Activez et lancez Vault sur chaque nœud :

sudo systemctl enable vault
sudo systemctl start vault

Le processus se déverrouille automatiquement via AWS KMS.

Initialisez sur le premier nœud :

vault operator init -key-shares=5 -key-threshold=3

Les nœuds suivants se joignent automatiquement.

vault status

Vous devriez voir HA Enabled true et un seul leader.

• Restreindre l'accès réseau sur les ports Vault
• Activer TLS en production
• Surveiller les logs via Consul/Prometheus exporter

Ce cluster Vault en haute disponibilité avec auto-unseal simplifie la gestion des secrets tout en garantissant sécurité et résilience.