donghyeon.kang/project-infra

Fork 0

Files

T

donghyeon-ka be2f8e4863 refactor: 폴더 구조 변경

2026-08-02 00:22:19 +09:00

7.8 KiB

Raw Permalink Blame History

Security Hardening

운영 절차가 아닌 정책 / 거버넌스 영역. guide.md 가 "오늘 oncall 이 따라할 절차" 라면 이 문서는 "이 클러스터를 책임진다면 알아야 할 보안 결정" 이다.

1. etcd encryption at rest

VSO 가 만드는 K8s Secret 은 기본적으로 etcd 에 base64 로만 저장된다 (평문과 동일). 운영 전 반드시 암호화를 켠다.

K3s 방식 (권장 — 학습/소규모)

최초 설치 시:

# /etc/rancher/k3s/config.yaml
write-kubeconfig-mode: "0644"
secrets-encryption: true

# 또는 설치 커맨드
curl -sfL https://get.k3s.io | sh -s - server --secrets-encryption

K3s 가 AES-CBC 키를 자동 생성해서 /var/lib/rancher/k3s/server/cred/encryption-config.json 에 저장한다.

이미 돌고 있는 클러스터에서 켜는 경우:

sudo vim /etc/rancher/k3s/config.yaml      # secrets-encryption: true 추가
sudo systemctl restart k3s

# 기존 Secret 을 즉시 재암호화 (없으면 새 Secret 부터 적용)
sudo k3s secrets-encrypt prepare
sudo systemctl restart k3s
sudo k3s secrets-encrypt rotate
sudo systemctl restart k3s
sudo k3s secrets-encrypt reencrypt

확인:

sudo k3s secrets-encrypt status
# Encryption Status: Enabled
# Current Rotation Stage: start
# Server Encryption Hashes: All hashes match

표준 Kubernetes 방식 (kubeadm 등)

/etc/kubernetes/encryption.yaml 생성:

apiVersion: apiserver.config.k8s.io/v1
kind: EncryptionConfiguration
resources:
  - resources: ["secrets"]
    providers:
      - aescbc:
          keys:
            - name: key-2026-04-21
              secret: <head -c 32 /dev/urandom | base64>
      - identity: {}

kube-apiserver manifest 에 플래그 추가:

spec:
  containers:
    - command:
        - kube-apiserver
        - --encryption-provider-config=/etc/kubernetes/encryption.yaml
      volumeMounts:
        - name: encryption-config
          mountPath: /etc/kubernetes/encryption.yaml
          readOnly: true

기존 Secret 재암호화:

kubectl get secrets --all-namespaces -o json \
  | kubectl replace -f -

KMS provider (프로덕션 권장)

aescbc 대신 KMS plugin (Vault transit / AWS KMS / GCP KMS) 사용. circular dependency (Vault 도 K8s Secret 에 의존) 회피를 위해 Vault transit 은 별도 provider Vault 를 띄워야 한다. 현 프로젝트는 단일 Vault 이므로 KMS 는 추후 작업.

검증

Secret 이 암호화됐는지 확인:

# K3s
sudo k3s kubectl -n mnt get secret auth-server-db -o yaml \
  | grep -A1 "data:"

# etcd 에 직접 접근해서 암호화 확인 (K3s)
sudo ETCDCTL_API=3 etcdctl \
  --endpoints=https://127.0.0.1:2379 \
  --cacert=/var/lib/rancher/k3s/server/tls/etcd/server-ca.crt \
  --cert=/var/lib/rancher/k3s/server/tls/etcd/client.crt \
  --key=/var/lib/rancher/k3s/server/tls/etcd/client.key \
  get /registry/secrets/mnt/auth-server-db
# 출력이 'k8s:enc:aescbc:v1:...' 로 시작하면 암호화됨

2. Vault 운영자 토큰 관리

root token 은 비상시 (rekey / generate-root / 전체 복구) 전용으로만 사용한다. 평시 작업은 개인별 계정 + vault-admin policy 로 수행한다.

초기 설정

부트스트랩 완료 후 한 번만:

REPO_ROOT="$(pwd)" \
VAULT_ADMIN_USERNAME='alice' \
VAULT_ADMIN_PASSWORD='<초기 비밀번호>' \
bash scripts/tasks/vault-setup-admin.sh

이 스크립트가 수행:

userpass auth method 활성화 (idempotent)
vault-admin policy 작성 (secret/*, auth/*, sys/mounts/*, sys/audit/* 등 관리 권한)
${VAULT_ADMIN_USERNAME} 계정 생성 (token TTL 기본 8h / max 24h)

운영자 로그인 — root token 사용 중단

# port-forward 로 vault CLI 접근
kubectl -n mnt port-forward svc/vault 8200:8200 &
export VAULT_ADDR=http://127.0.0.1:8200

# 로그인 (로그인 시 발급되는 토큰은 8h 후 자동 만료)
vault login -method=userpass username=alice
# Password (will be hidden): <입력>
# Token is displayed and automatically cached in ~/.vault-token

첫 로그인 후 비밀번호 변경:

vault write auth/userpass/users/alice/password password='<새 비밀번호>'

root token 처리

vault-init-keys.json 에 있는 root token 은:

즉시 오프라인 금고 (1Password Team / 하드웨어 보안 금고 / 봉인 봉투) 로 이동
원본 파일에서 root_token 필드 삭제 (unseal keys 는 재부팅 시 필요하므로 유지)
root token 이 필요하면:

# 기존 root token 유효하면 재사용
vault login <root-token>

# 분실/만료됐으면 재발급 (unseal key 쿼럼 필요)
vault operator generate-root -init
# 응답의 nonce 저장, unseal key 보유자들이 otp 로 제출
vault operator generate-root -nonce=<nonce> -otp=<your-otp> <unseal-key-1>
vault operator generate-root -nonce=<nonce> -otp=<your-otp> <unseal-key-2>
vault operator generate-root -nonce=<nonce> -otp=<your-otp> <unseal-key-3>
# 마지막 응답에 Encoded Token 이 나옴 → otp 로 decode
vault operator generate-root -decode=<encoded> -otp=<your-otp>
# 새 root token 확보 후 기존 것 revoke:
vault token revoke <old-root-token>

운영자 계정 추가 / 제거

# 추가
REPO_ROOT="$(pwd)" \
VAULT_ADMIN_USERNAME='bob' \
VAULT_ADMIN_PASSWORD='<임시 pw>' \
bash scripts/tasks/vault-setup-admin.sh

# 제거
vault delete auth/userpass/users/bob

권한 분리 (추후 확장)

vault-admin 은 전권 정책이다. 실무에서는 역할별 분리 권장:

역할	policy 이름	권한 범위
인프라 admin	`vault-admin`	현재 정의된 전권 (rekey 제외)
앱 팀 (read)	`secret-readonly`	`secret/data/*` read 전용
앱 팀 (write)	`secret-writer`	팀별 경로 제한 (`secret/data/auth-server/*` 등)
감사자	`audit-reader`	`sys/audit/*` read + Vault audit log 접근

각 policy 를 만들고 userpass user 생성 시 token_policies=<policy-name> 로 바인딩한다.

감사 로그 활성화 (추후)

Vault 자체 감사 로그는 기본 비활성. 운영에서는 반드시 활성화:

# file 방식
vault audit enable file file_path=/vault/logs/audit.log

# socket 방식 (중앙집중 수집)
vault audit enable socket address=loki-syslog.monitoring.svc:514 socket_type=tcp

statefulset.yaml 의 volumeMounts 에 /vault/logs 를 추가해야 파일 방식 사용 가능. 별도 작업.

3. bash history 에 비밀번호 남기지 않기

VAR=value command 형태로 env var 를 명령줄에 직접 적으면 그대로 ~/.bash_history 에 저장 된다. 대응:

권장 — 대화형 입력

bash scripts/bin/bootstrap.sh lab
# 프롬프트에서 무음 입력 (echo 안 됨)

본 프로젝트의 모든 시크릿 seed 스크립트 (bootstrap.sh, tasks/vault-seed-apps.sh, tasks/vault-setup-admin.sh) 는 env var 가 비어 있으면 TTY 에서 자동으로 read -r -s 프롬프트로 전환한다.

비대화 (CI) 실행 시

어쩔 수 없이 env var 를 넣어야 할 때:

# 이번 명령만 history 에 안 남기기
HISTFILE=/dev/null \
POSTGRES_SUPERUSER_PASSWORD='...' \
KEYCLOAK_DB_PASSWORD='...' \
AUTH_SERVER_DB_PASSWORD='...' \
KEYCLOAK_ADMIN_PASSWORD='...' \
MINIO_ROOT_PASSWORD='...' \
bash scripts/bin/bootstrap.sh lab

# 또는 세션 전체 history 비활성화
set +o history
POSTGRES_SUPERUSER_PASSWORD='...' bash ...
set -o history

Tip

: HISTCONTROL=ignorespace 가 설정된 쉘이면 명령 앞에 공백 1 칸 넣어도 저장되지 않는다. 다만 쉘마다 설정이 다르니 HISTFILE=/dev/null 이 가장 확실.

7.8 KiB Raw Permalink Blame History