Vault密钥管理入门：从安装到安全存储敏感数据

为什么需要专门的密钥管理工具

在服务器运维中，数据库密码、API密钥、SSL证书私钥等敏感信息如果直接写在配置文件里，一旦服务器被入侵，所有凭证都会泄露。
Vault（HashiCorp Vault）是一个专门解决这个问题的工具：它可以把密钥集中加密存储，并控制谁能读、什么时候能读，甚至能让密钥自动轮换。

对于刚接触运维的人来说，Vault 虽然功能强大，但入门步骤并不复杂。
本文会带你从零搭建一个最小可用的 Vault 环境，并完成一次密钥的存储和读取。

前置条件与安装准备

在动手之前，你需要一台 Linux 服务器（本文以 Ubuntu 22.04 为例），并且具备 sudo 权限。
Vault 本身是一个二进制文件，安装非常轻量。

1. 下载 Vault 二进制包

    sudo apt update
    sudo apt install wget unzip -y
    wget https://releases.hashicorp.com/vault/1.17.0/vault_1.17.0_linux_amd64.zip

注意：版本号可能会更新，请前往 Vault 官方下载页 获取最新版链接。

1. 解压并移动到系统路径

    unzip vault_1.17.0_linux_amd64.zip
    sudo mv vault /usr/local/bin/

1. 验证安装

    vault version

如果看到类似 Vault v1.17.0 的输出，说明安装成功。

启动开发模式与首次初始化

Vault 支持多种存储后端（如文件、Consul、Raft）。
为了快速上手，本文使用开发模式，所有数据保存在内存中（重启即丢失，仅用于测试）。

1. 启动 Vault 开发服务器

    vault server -dev -dev-listen-address=0.0.0.0:8200

终端会输出很多信息，记住其中的 Unseal Key 和 Root Token。
开发模式下 Vault 自动解封，但在生产环境需要手动解封。

1. 设置环境变量

另开一个终端窗口，执行以下命令让 Vault CLI 能连接到服务器：

    export VAULT_ADDR='http://127.0.0.1:8200'
    export VAULT_TOKEN='上面输出的Root Token值'

1. 检查 Vault 状态

    vault status

如果显示 Sealed: false，说明 Vault 正常运行且已解封。

在 Vault 中存储和读取密钥

Vault 使用路径（path）来组织密钥。
例如，你可以把所有数据库密码放在 secret/data/database 路径下。

1. 启用 KV（键值）存储引擎

Vault 的默认开发模式已经启用了 secret/ 路径下的 KV v2 引擎，所以这一步可以跳过。
如果你需要自定义路径，可以执行：

    vault secrets enable -path=mysecrets kv-v2

1. 写入一个密钥

假设我们要存一个数据库连接密码：

    vault kv put secret/database username=admin password=SuperSecret123

成功输出会包含 Key Value 等字段。

1. 读取密钥

    vault kv get secret/database

输出中会显示 password 的值。
注意 KV v2 引擎的元数据版本。

1. 删除密钥

如果密钥不再需要：

    vault kv delete secret/database

常见踩坑与解决方法

• 权限不足（permission denied）：检查环境变量 VAULT_TOKEN 是否设置正确，或者 token 是否已过期。开发模式的 token 永久有效。
• 连接被拒绝：确认 Vault 服务器是否仍在运行，以及 VAULT_ADDR 的 IP 和端口是否正确。如果是远程访问，需要配置防火墙允许 8200 端口。
• 密钥写入后读取为空：确认使用的引擎版本。KV v2 的路径是 secret/data/xx 而不是 secret/xx。CLI 会自动处理，但手动调用 API 时要注意。
• 解封失败：生产环境需要至少 3 个解封密钥，本文开发模式不涉及。

验证你的密钥管理效果

1. 编写脚本自动获取密钥

例如，用环境变量方式将数据库密码注入应用：

    DB_PASSWORD=$(vault kv get -field=password secret/database)
    export DB_PASSWORD

这样密码就不会硬编码在脚本里。

1. 审计日志

Vault 默认会记录所有操作到 vault audit（生产环境需配置）。
你可以查看谁在什么时候读取了哪个密钥。

1. 测试密钥轮换

重复执行 vault kv put 覆盖同一路径，然后读取，验证版本号变化：

    vault kv get -version=1 secret/database

Vault 会保留历史版本，方便回滚。

如果你正在处理 Vault密钥管理，建议先按本文步骤在开发环境中完整执行，再根据自己的业务需求切换到生产部署。
生产环境至少要考虑 Raft 集群、TLS 加密、解封方式以及密钥自动轮换策略。
碰到异常时，优先回看上面的避坑部分，里面的问题覆盖了新手最常见的场景。