HashiCorp Vault密钥管理：离岸VPS自托管方案

传统的凭证管理实践存在三大根本性缺陷：长生命周期凭证、静态共享密钥、分散存储位置。一个典型场景是数据库密码硬编码在应用配置文件中，永远不轮换，被多个服务共享访问，存在于Git仓库、CI/CD变量、生产服务器配置等多个位置。任何一个位置的泄露都意味着完整的数据库访问权限。 Vault通过三大核心能力重塑了凭证管理范式。第一，动态凭证生成。Vault可以为应用按需生成短生命周期数据库账户、AWS临时密钥、SSH证书等凭证，使用完毕后自动撤销。即使凭证泄露，攻击者也只有极短的利用窗口。第二，加密即服务（Transit Engine）。应用可以通过Vault API加密任意数据，而无需在本地存储加密密钥，密钥生命周期完全由Vault管理。 第三，统一的Secrets访问层。无论是Kubernetes Pod、Jenkins构建、Ansible Playbook还是开发者本地工具，所有Secrets访问都通过Vault统一的认证授权层。结合细粒度的Policy系统，可以实现真正的最小权限原则：每个身份只能访问其工作所需的最少凭证集合。 对于追求零信任架构的组织，Vault不仅是一个工具，更是整体安全策略的基石。通过Vault Agent与Auto-Unseal等高级功能，可以构建完全自动化的Secrets生命周期管理流程，将人工密钥处理降到最低。

Vault本身是一个轻量级的Go应用，单一二进制文件即可启动完整服务。基础部署对资源要求很低，Anubiz Host的2核CPU、4GB内存VPS方案足以承载中小规模的Vault服务。对于企业级部署，推荐4核8GB方案以获得更好的并发处理能力。 存储后端是Vault部署的关键决策。Vault本身不持久化数据，而是依赖外部存储后端（Storage Backend）保存加密的Secrets。可选的存储后端包括Consul（分布式高可用）、Integrated Storage（Raft，Vault内置高可用）、PostgreSQL、MySQL、文件系统等。对于单节点部署，文件系统后端简洁高效；对于高可用集群，推荐使用Integrated Storage（Raft）实现3-5节点的Vault HA集群。 Anubiz Host支持在多个VPS之间建立内网互联，让您可以在不暴露公网的前提下部署Vault HA集群。三节点Raft集群通过内网协议同步数据，对外通过单一负载均衡器提供服务，单节点故障时自动选举新Leader，业务零中断。 Auto-Unseal是Vault生产部署的关键功能。Vault启动后处于"密封"（Sealed）状态，需要使用Shamir分片的Unseal Key或外部KMS解封。Auto-Unseal让Vault自动通过云KMS（AWS KMS、GCP KMS、Azure Key Vault）或Transit Engine解封，避免人工介入。对于离岸隐私场景，推荐使用Vault Transit Auto-Unseal模式，让一个独立的Vault实例作为另一个Vault集群的解封密钥源，完全自主可控。

部署完成的Vault可以支撑企业内多种高价值使用场景，最大化离岸基础设施的安全价值。第一，动态数据库凭证。配置Database Secrets Engine后，应用通过Vault API请求数据库连接时，Vault动态创建临时数据库账户（生命周期可配置为分钟级），应用使用完毕后账户自动撤销。结合Vault的Lease续期机制，长生命周期应用可以平滑续期凭证而无需重启。 第二，PKI证书管理。Vault PKI Secrets Engine提供了完整的私有CA能力，可以为内部服务自动签发短生命周期TLS证书（如7天有效期），自动轮换。这种短证书策略大幅降低了证书泄露的影响范围，结合Kubernetes Cert-Manager的Vault Issuer，可以为整个集群构建自动化的mTLS基础设施。 第三，SSH一次性证书。Vault SSH Secrets Engine可以为运维人员签发临时的SSH证书，证书绑定到特定的服务器集群与生命周期。运维人员每次需要SSH登录时通过Vault请求证书，免去了静态SSH密钥的分发与轮换难题。配合操作审计日志，所有SSH会话可追溯到具体身份。 第四，Kubernetes Auth。Vault的Kubernetes Auth方法让K8s Pod可以通过ServiceAccount Token自动认证到Vault并获取所需Secrets，彻底告别在K8s Secrets中存储敏感凭证。配合Vault Agent Sidecar Injector，整个Secrets注入过程对应用透明，开发者无需修改代码即可享受Vault的安全收益。 在Anubiz Host的离岸VPS上部署的Vault集群，配合冰岛隐私法律保护，让企业最敏感的密钥资产获得双重保障：技术层面的强加密与法律层面的司法独立。