vault auto-unseal avec kms bloqué en sealed

Question

hello tt le monde on essaie de configurer vault sur des ec2 avec l'auto-unseal via aws kms. tout semble bon côté config vault mais l'instance reste sealed. les logs vault montrent rien de particulier à part qu'il attend d'être unsealed.

# extrait de la config vault
seal "awskms" {
  region     = "eu-west-3"
  kms_key_id = "arn:aws:kms:eu-west-3:123456789012:key/abcdefgh-1234-abcd-efgh-1234567890ab"
}
listener "tcp" {
  address     = "0.0.0.0:8200"
  tls_disable = "true"
}
storage "s3" {
  bucket     = "my-vault-s3-bucket"
  region     = "eu-west-3"
}

agathe-mary · Answer

t'as vérifié que l'instance role de ton ec2 vault a bien les permissions kms decrypt sur la clé spécifiée ? c'est le truc classique. faut au moins kms:Decrypt et kms:DescribeKey

celina54 · Answer

et aussi que ton ec2 peut joindre les endpoints kms. pas de proxy pas de vpc endpoint bloqué par un sg ou une nacl ?

lucas-amelie · Answer

putain mais oui l'instance role ! j'avais oublié d'attacher la policy. je viens d'ajouter une policy custom avec kms:Decrypt sur la clé et c'est passé en started. je suis trop con merci bcp

vault auto-unseal avec kms bloqué en sealed

3 commentaires

Laisser une réponse

Déploiement et Backup automatique d'une application Symfony 4

Conclusion du cours d'initiation à GoLang

Installer et configurer votre environnement Terraform

Maîtriser l'opération de Rebase sur GitLab pour un historique linéaire

Guide : Orchestrer le Pooling de Mémoire CXL avec Kubernetes DRA

Rejoindre la communauté