php vault

Technicalguru/Php-Vault

Гибкое хранилище на основе PHP для динамического предоставления секретов

Лицензия

Этот проект лицензирован в GNU LGPL 3.0.

Установка

Композитором

composer install technicalguru/vault

По пакетам скачать

Вы можете скачать пакеты исходного кода со страницы выпуска GitHub

Настройка Hashicorp

Процедура лучше всего описана в блоге Hashicorp. Он описывает, как создать approle . Вот суть этого:

 # Enable the auth method for approle
vault auth enable approle

# Create a renewal policy
echo ' path "auth/token/*" { capabilities = [ "create", "read", "update", "delete", "list", "sudo" ] } ' > renewal-policy.hcl
vault policy write renewal-policy renewal-policy.hcl

# Create a file with your policy on the respective secret path:
cat ' path "secret/my-secret" { capabilities = ["read", "list"] } ' > app-policy.hcl

# Create the policy
vault policy write my-app-policy app-policy.hcl

# Create the approle with renewal-policy and your application policy
vault write auth/approle/role/my-approle token_policies=renewal-policy,my-app-policy token_period=30m token_ttl=30m token_max_ttl=1h token_explicit_max_ttl=2h

# Get the role ID printed
vault read auth/approle/role/my-approle/role-id

# Create the secret ID and print it
vault write -f auth/approle/role/my-approle/secret-id

Пожалуйста, обратите внимание, что вам нужно воссоздать секретный идентификатор всякий раз, когда вы меняете роль заявки или политику.

Примеры

Создайте хашикорпов

Обратите внимание, что это хранилище на самом деле является клиентом существующего хранилища Hashicorp.

 // Create configuration
$ config = array (
	' type '   => ' hashicorp ' ,
	' config ' => array (
		' uri '      => ' https://127.0.0.1:8200/v1 ' ,
		' roleId '   => ' 123456-12345-12345-123456 ' ,
		' secretId ' => ' abcdef-abcde-abcde-abcdef '
	)
);

// Create the vault instance
try {
	$ vault =  TgVault VaultFactory:: create ( $ config );
} catch (  TgVault  VaultException $ e ) {
	// Vault could not be created
}

Создайте память

 // Create configuration
$ config = array (
	' type '   => ' memory ' ,
	' config ' => array (
		' secrets ' => array (
			' my/secret/number/1 ' => array (
				' username ' => ' my-username1 ' ,
				' password ' => ' my-password1 ' ,
			),
			' my/secret/number/2 ' => array (
				' username ' => ' my-username2 ' ,
				' password ' => ' my-password2 ' ,
			),
		)
	)
);

// Create the vault instance
try {
	$ vault =  TgVault VaultFactory:: create ( $ config );
} catch (  TgVault  VaultException $ e ) {
	// Vault could not be created
}

Создайте FileVault

 // Create configuration
$ config = array (
	' type '   => ' file ' ,
	' config ' => array (
		' filename ' => ' path-to-json-secret-file '
	)
);

// Create the vault instance
try {
	$ vault =  TgVault VaultFactory:: create ( $ config );
} catch (  TgVault  VaultException $ e ) {
	// Vault could not be created
}

Файл секретов (JSON) должен выглядеть так:

{
	"secrets" : {
		"my/secret/number/1" : {
			"username" : " my-username1 " ,
			"password" : " my-password1 "
		},
		"my/secret/number/2" : {
			"username" : " my-username2 " ,
			"password" : " my-password2 "
		}
	}
}

Получение секрета

 try {
	$ mySecret1 = $ vault -> getSecret ( ' my/secret/number/1 ' );
	$ mySecret2 = $ vault -> getSecret ( ' my/secret/number/2 ' );
} catch (  TgVault  VaultException $ e ) {
	// secret was not found
}

$ username1 = $ mySecret1 -> get ( ' username ' );
$ password1 = $ mySecret1 -> get ( ' password ' );
$ username2 = $ mySecret2 -> get ( ' username ' );
$ password2 = $ mySecret2 -> get ( ' password ' );

Значение в секрете является NULL , когда ключ не существует, тогда как исключение будет выброшено, когда сама секрет не может быть найдена или возникнет ошибка во время поиска.

Использование ленивых учетных данных

Вы можете использовать классы SecretProvider или CredentialsProvider Helper, чтобы передать им учетные данные, не зная, откуда они и как использовать хранилище.

 $ callback1 = new  TgVault  SecretProvider ( $ vault , ' my/secret/number/1 ' );
$ callback2 = new  TgVault  CredentialsProvider ( $ vault , ' my/secret/number/2 ' );

try {
	$ username1 = $ callback1 -> get ( ' username ' );
	$ password1 = $ callback1 -> get ( ' password ' );

	$ username2 = $ callback2 -> getUsername ();
	$ password2 = $ callback2 -> getPassword ();
} catch (  TgVault  VaultException $ e ) {
	// Secret cannot be retrieved or does not exist
}

CredentialsProvider принимает дополнительные аргументы конструктора, которые определяют, которые ключи в секрете предоставляют имя пользователя и пароль. По умолчанию приведены выше для SecretProvider .

Вклад

Сообщите об ошибке, запросите об улучшении или запросе на вытягивания на трекере выпуска GitHub.