Внедрение Vault с нуля
Вопрос
Интервьюер: «В компании пароли лежат в .env на серверах и в переменных GitLab. Как вы внедрите Vault и что будет сложнее всего?»
Попробуйте сами
Ответьте вслух за 2 минуты, как на собесе. Потом сверьтесь с тезисами: что прозвучало, а что нет.
Показать ответ и разбор
Коротко
Что должно прозвучать в ответе
Инвентаризация: какие секреты, где, кто пользуется
Развёртывание: HA (Raft), auto-unseal, бэкапы снапшотов, мониторинг и аудит
Схема путей и политик по командам и окружениям, auth methods для людей, CI и сервисов
Миграция поэтапно: сначала новые сервисы, затем перенос с ротацией каждого секрета
Динамические секреты для баз и облака, где получится
Сложности: доступность Vault как критичной зависимости, обучение команд
Что могут спросить следом
- Как сделать, чтобы Vault не стал единой точкой отказа?
- Как убедиться, что старые пароли больше нигде не используются?
Разбор
Образцовый ответ: «Сначала инвентаризация: выгружаю переменные GitLab, ищу .env на серверах и gitleaks по репозиториям, получаю список секретов и владельцев. Поднимаю Vault кластером из трёх узлов на интегрированном Raft, auto-unseal через KMS, аудит-лог в централизованные логи, снапшоты по расписанию. Пути kv/<команда>/<окружение>/<сервис>, политики по командам, люди через OIDC, CI через JWT, сервисы через kubernetes auth. Миграцию начинаю с новых сервисов, потом переношу старые по одному и при переносе каждый секрет ротирую, иначе старое значение так и останется в .env. Базы перевожу на динамические учётки. Самое сложное не техника: Vault становится критичной зависимостью, поэтому HA, мониторинг и раннбуки на unseal обязательны, а командам нужен простой путь, иначе секреты снова поедут в .env».
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.