Vault

服务商概述

Vault 由 HashiCorp 于 2012 年创建，总部位于美国加利福尼亚州旧金山，是业界领先的密钥管理与访问控制解决方案。Vault 提供 30+ 种机密引擎（Secrets Engines），覆盖 KV 存储、数据库凭据、云 IAM 角色、PKI 证书、SSH 密钥等主流机密类型，是云原生环境下安全管理的基础设施层组件。

Vault 被全球数千家企业用于机密分发、动态凭据管理和加密即服务场景。其核心设计理念是通过统一的机密控制平面，替代 SSH 密钥、静态密码、配置文件硬编码等传统做法，从根本上降低机密泄露风险。

核心优势

• 30+ 机密引擎覆盖全面：从简单的 KV 存储到动态的数据库凭据、云服务商 IAM 角色，再到 PKI 证书签发，Vault 一个平台即可管理所有机密类型。
• 动态密钥与自动轮换：数据库、云服务商等支持动态凭据生成，每次请求返回临时凭据（租约 1 次），租约到期自动吊销。即使凭据泄露，攻击窗口也大幅缩短。
• 加密即服务（EaaS）：应用通过 1 套 API 调用 Vault 进行数据加密/解密，无需自行管理密钥轮换和加密算法，降低加密实现复杂度。
• 10+ 认证方式灵活集成：支持 Token、LDAP、Kubernetes Service Account、AWS IAM、Azure MSI、JWT/OIDC 等多种认证方式，无缝融入已有身份体系。

产品生态

• Vault Open Source：社区版，包含核心机密引擎和认证方式，适合开发和测试环境。
• Vault Enterprise：企业版，增加自动解封（Auto Unseal）、性能复制（Performance Replication）、HSM 集成、命名空间（Namespaces）等企业级能力。
• Vault Secrets Operator：Kubernetes Operator，允许将 Vault 机密同步为 Kubernetes Secret，实现 Pod 级别的机密注入。
• HashiCorp Cloud Platform (HCP) Vault：托管版 Vault，由 HashiCorp 运维，免除自建集群的管理负担。

不足之处

• 部署运维复杂度高：Vault 集群需要配置存储后端（Consul/Raft）、解封机制、TLS 证书、审计日志等，运维门槛较高，需要专业团队。
• 企业级功能需付费：自动解封、性能复制、HSM 支持等重要企业功能仅在 Enterprise 版中提供，开源版无法覆盖高可用灾难恢复等场景。
• 集成适配工作量大：将 Vault 全面接入已有 CI/CD、监控、告警体系需要额外的开发和配置工作，短期内增加团队负担。

适用场景

• 数据库动态凭据管理（★★★★★）：应用不再使用静态数据库密码，每次请求通过 Vault 获取临时凭据，租约到期自动吊销，从根本上消除凭据泄露风险。
• PKI 证书生命周期管理（★★★★★）：使用 Vault PKI 引擎内部签发证书，自动轮换和吊销，结合 ACME 协议实现证书自动化管理。
• Kubernetes 机密注入（★★★★★）：通过 Vault Secrets Operator 将机密注入 Pod 环境变量或 Volume，无需在 CI/CD 中明文传递敏感信息。
• 多云密钥统一管理（★★★★☆）：通过 Vault 统一管控 AWS/Azure/GCP 的 IAM 角色凭据，实现多云环境下的密钥一致性管理。

价格参考

常见问题

• Vault 和 Kubernetes Secret 有什么区别？ Kubernetes Secret 以 Base64 编码存储在 etcd 中，缺乏访问审计和动态轮换能力。Vault 提供审计日志、租约管理、动态凭据和丰富的认证集成，适合生产级机密管理。参考 安全审计了解更多。

• Vault 开源版能否用于生产环境？ 可以，但开源版缺少自动解封和性能复制功能。建议生产环境至少部署 3 节点 Vault 集群 + 3 节点 Consul 后端，并配置外部解封机制，部署参考 云服务器配置指南。

• Vault 如何保证高可用？ Vault 采用最终一致性架构，Active 节点处理请求，Standby 节点实时同步。Enterprise 版通过性能复制支持跨数据中心部署，实现区域级高可用，高可用参考 监控服务对比。

• Vault 与 Kubernetes 如何集成？ 通过 Vault Secrets Operator 或 CSI 插件将机密注入 Pod，避免在 容器安全场景中明文传递凭据。