Vault pas content avec le TLS mutualisé sur K8s

Question

salut les pros j'essaie de configurer Vault avec du mTLS pour un client mais ça part en cacahuète. mon client K8s doit s'authentifier à Vault via un certificat, mais Vault refuse la connexion TLS. j'ai des erreurs de type x509: certificate signed by unknown authority. j'ai bien monté le CA dans Vault pour qu'il reconnaisse les certs clients.
# partie de ma config Vault TLS
listener "tcp" {
  address = "0.0.0.0:8200"
  tls_disable = false
  tls_cert_file = "/vault/tls/vault.crt"
  tls_key_file = "/vault/tls/vault.key"
  tls_client_ca_file = "/vault/tls/ca.crt"
  tls_require_and_verify_client_cert = true
}

antoine-gay · Answer

yo. si t'es sur k8s et que t'as un ingress controller devant Vault, c'est lui le coupable. beaucoup de ingress controllers (nginx, traefik) terminent le TLS et ne transmettent pas le certificat client à Vault par défaut. il faut que l'ingress soit configuré pour passer le cert client.

martin-hubert · Answer

on est sur Nginx Ingress Controller. j'ai mis les annotations pour les secrets TLS classiques mais je pensais que c'était suffisant. il faut faire quoi pour le cert client ?

matthieu-bonnin · Answer

pour Nginx Ingress, tu dois ajouter des annotations spécifiques pour le mTLS. principalement nginx.ingress.kubernetes.io/auth-tls-verify-client: "on" et nginx.ingress.kubernetes.io/auth-tls-secret qui pointe vers le secret avec ton CA client. Sans ça Nginx fait pas passer le cert client à Vault.

martin-hubert · Answer

ah ouais merde j'avais complètement zappé l'annotation auth-tls-verify-client. je la rajoute et je re-teste. je vous tiens au jus.

antoine-gay · Answer

ouais c'est la clé. l'ingress doit être configuré pour demander et transmettre le certificat client. sinon Vault voit pas le cert et te jette.

martin-hubert · Answer

VOILÀ ! C'était bien ça. J'ai ajouté l'annotation et c'est passé nickel. Vault reçoit bien le cert client. Merci les gars, vous me sauvez la mise !

Vault pas content avec le TLS mutualisé sur K8s

6 commentaires

Laisser une réponse

Introduction à la Gestion de projets Informatiques

Mesurer l'efficacité du DevOps

Les Jalons Milestones sur GitLab pour planifier vos délais

Importer un dépôt externe vers GitLab pour migrer vos projets

L'Infrastructure IA-Native : Le Cœur Intelligent du Cloud & DevOps

Rejoindre la communauté