vault auto-unseal fail avec gcp kms sur des instances gce

Question

salut la gang on a un souci avec vault et l'auto-unseal. on a déployé un nouveau cluster vault sur gce et configuré l'auto-unseal avec gcp kms. le vault démarre mais il reste en état scellé (sealed) et l'unseal automatique ne se fait pas. les instances ont bien le service account avec les permissions kms
# sortie de 'vault status'
Key              Value
---              -----
Seal Type        gcpckms
Initialized      true
Sealed           true
Total Shares     1
Threshold        1

gabrielle26 · Answer

t'as checké les logs de vault au démarrage ? souvent ça crache une erreur claire sur le pourquoi ça fail. genre un souci de key ring ou de key id

laure90 · Answer

oui dans les logs j'ai un "error fetching kms client: google: could not find default credentials. see https://cloud.google.com/docs/authentication/getting-started for more information."

alexandria06 · Answer

ok ça sent le coup du service account pas bien attaché à l'instance ou un scope manquant. t'as créé les instances avec le flag --service-account et --scopes bien définis ?

gabrielle26 · Answer

et la config vault dans ton hcl elle pointe bien sur le bon keyring et la bonne key ? des fois c'est juste une typo dans le nom

laure90 · Answer

j'ai revérifié les scopes et le service account. ils sont bons. par contre j'ai découvert que j'avais pas installé le gcloud sdk sur les instances... est-ce que vault en a besoin pour l'auth ?

alexandria06 · Answer

normalement non vault utilise les api gcp directement avec les metadata de l'instance pour l'auth du service account. le sdk c'est plus pour les outils cli. l'erreur "could not find default credentials" c'est typique d'un souci d'environnement ou de service account pas détecté par l'appli

laure90 · Answer

bordel c'était la région du keyring kms ! j'avais mis us-east1 au lieu de europe-west3 dans ma config vault. je l'ai fixé et boom il est unsealed. quelle connerie merci pour l'aide

gabrielle26 · Answer

ha la région classique ! bien joué d'avoir trouvé. ça me rappelle des sueurs froides

vault auto-unseal fail avec gcp kms sur des instances gce

Commentaires

Laisser une réponse

C'est quoi exactement un conteneur ?

Pourquoi la majorité des pannes de production ne sont pas dues au code ?

Les tableaux dans le langage de programmation Go

Rejoindre la communauté