HashiCorp Vault

本文件說明如何將 HashiCorp Vault 與 Google SecOps 整合。

將 HashiCorp Vault 與 Google Security Operations 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合輸入內容

如要設定整合，請使用下列參數：

參數
API Root 必要

要連線的 API 根目錄。

預設值為 https://IP_ADDRESS:8200.
Token 選填

連線時要使用的權杖。您可以使用權杖或使用者名稱和密碼組合進行驗證。
Username 選填

連線要使用的使用者名稱。您可以使用權杖或使用者名稱和密碼組合進行驗證。
Password 選用

連線要使用的密碼。您可以使用權杖或使用者名稱和密碼組合進行驗證。
Verify SSL 選填

如果勾選，系統會驗證為 API 根目錄設定的憑證。

預設為取消勾選。
Key-Value Secret Engine Path 必要

用於鍵/值 Secret 儲存空間的路徑。僅支援第 2 版。 這個參數用於與儲存在儲存空間中的密鑰互動，以及建構 https://IP_ADDRESS:8200/v1/secret/data/ 等網址。

預設值為 secret。

動作

產生 AWS 憑證

根據儲存在 HashiCorp Vault 的 AWS 角色產生憑證。

實體

這項動作不會對實體執行。

動作輸入內容

如要設定整合，請使用下列參數：

參數
AWS Secret Engine Path 選填

AWS 密鑰儲存空間使用的路徑。僅支援第 2 版。 這個參數用於與儲存在儲存空間中的密鑰互動，以及建構 http://IP_ADDRESS:8200/v1/aws/roles/ 等網址。

預設值為 aws。
AWS Role Name 必要

要產生憑證的角色名稱。
AWS Role ARN 選填

如果 Vault 角色上的 credential_type 設為 assumed_role，則為要擔任角色的 ARN。

這個參數應與 Vault 角色中允許的角色 ARN 之一相符。
AWS Role Session Name 選填

要附加至擔任角色 ARN 的角色工作階段名稱。如未提供任何值，系統預設會動態產生。
TTL (seconds) 選填

STS 權杖的存留時間 (以秒為單位)。

這個參數是以字串形式指定，並加上時間長度後置字串，且只有在 Vault 中的 AWS 角色 credential_type 為 assumed_role 或 federation_token 時才有效。

如未指定這項參數，系統會使用為角色設定的 default_sts_ttl 值。

如果也未設定 default_sts_ttl 值，則會使用預設值 3600 秒。
JSON Expression Builder 選填

JSON 運算式，用於篩選密鑰中的特定資料子集。

範例如下：| "data" | "data" | "key0"。

動作輸出內容

動作輸出類型
案件總覽附件 不適用
案件總覽連結 不適用
案件總覽表格 不適用
補充資訊表格 不適用
實體洞察 不適用
洞察資料 不適用
JSON 結果 可用
OOTB 小工具 不適用
指令碼執行結果 可用
指令碼執行結果
指令碼結果名稱 值
is_success True/False
JSON 結果
{
"request_id": "08fe0196-fd51-8c32-9a90-a245ad6ade29",
"lease_id": "aws/creds/my-role/MWLgJVdR2n8YwQuuX1dVN3Nv",
"renewable": true,
"lease_duration": 2764800,
"data": {
"access_key": "AKIAWP5MI7…",
"secret_key": "CwYA8StJ8r+Oe0AKS8JnBvOWNOF…",
"security_token": null
},
"wrap_info": null,
"warnings": null,
"auth": null
}
案件總覽

這項動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully generated credentials for the ROLE_NAME role. 動作成功。
Error executing action "Generate AWS Credentials". Reason: Incorrect JSON value is provided for the Expression Builder.

動作失敗。

請檢查 JSON Expression Builder 參數值。
Error executing action "Generate AWS Credentials". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。

列出 AWS 角色

根據指定條件，列出 HashiCorp Vault 中可用的 AWS 角色。

實體

這項動作不會對實體執行。

動作輸入內容

如要設定整合，請使用下列參數：

參數
AWS Secret Engine Path 選填

AWS 密鑰儲存空間使用的路徑。僅支援第 2 版。 這個參數用於與儲存在儲存空間中的密鑰互動，以及建構 http://IP_ADDRESS:8200/v1/aws/roles/ 等網址。

預設值為 aws。
Max Records To Return 選填

要傳回的記錄數量。如未提供任何值，動作預設會傳回 50 筆記錄。

動作輸出內容

動作輸出類型
案件總覽附件 不適用
案件總覽連結 不適用
案件總覽表格 不適用
補充資訊表格 不適用
實體洞察 不適用
洞察資料 不適用
JSON 結果 可用
OOTB 小工具 不適用
指令碼執行結果 可用
指令碼執行結果
指令碼結果名稱 值
is_success True/False
JSON 結果
{
"request_id": "7356485b-4186-3873-72e3-d2e588dc6fb6",
"lease_id": "",
"renewable": false,
"lease_duration": 0,
"data": {
"keys": [
"m",
"my-other-role",
"my-role"
]
},
"wrap_info": null,
"warnings": null,
"auth": null
}
案件總覽

這項動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully found AWS roles in the AWS_SECRET_ENGINE_PATH store. 動作成功。
Error executing action "List AWS Roles". Reason: Invalid value was provided for "Max Records to Return": PROVIDED_VALUE . Positive number should be provided.

動作失敗。

請檢查 Max Records to Return 參數值。
Error executing action "List AWS Roles". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。

列出鍵/值 Secret 密鑰

根據提供的條件，列出 HashiCorp Vault 中可用的 Secret 金鑰。這項動作會傳回儲存在密鑰路徑中的金鑰名稱，但不含值。請務必為密鑰路徑指定資料夾名稱。如果提供 Secret 金鑰，這項動作就不會生效。

實體

這項動作不會對實體執行。

動作輸入內容

如要設定整合，請使用下列參數：

參數
Key-Value Secret Engine Path 選填

用於鍵/值 Secret 儲存空間的路徑。僅支援第 2 版。 這個參數用於與儲存在儲存空間中的密鑰互動，以及建構 https://IP_ADDRESS:8200/v1/secret/data/SECRET_TO_FETCH_FROM_THE_KV_STORE 等網址。

預設值為 secret。
Secret Path 選填

要擷取的 Secret 路徑。這項動作接受資料夾名稱。

範例：如果 Secret 路徑資料夾名稱為 my-secret，鍵/值儲存庫路徑為 secret，則要擷取的完整路徑為 https://IP_ADDRESS:8200/v1/secret/data/my-secret。

如未提供值，動作會傳回儲存在 Secret 引擎中的所有 Secret 金鑰。

預設值為 https://IP_ADDRESS:8200.
Max Records To Return 選填

要傳回的記錄數量。

預設值為 50。

動作輸出內容

動作輸出類型
案件總覽附件 不適用
案件總覽連結 不適用
案件總覽表格 不適用
補充資訊表格 不適用
實體洞察 不適用
洞察資料 不適用
JSON 結果 可用
OOTB 小工具 不適用
指令碼執行結果 可用
指令碼執行結果
指令碼結果名稱 值
is_success True/False
JSON 結果
{
 "request_id": "ed5d30ed-0fe9-a3b5-36d1-cc81b9175fe9",
 "lease_id": "",
 "renewable": false,
 "lease_duration": 0,
 "data": {
   "keys": [
     "hello",
     "tesr2",
     "test"
   ]
 },
 "wrap_info": null,
 "warnings": null,
 "auth": null
}
案件總覽

這項動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully found the following secret keys for the provided criteria in the key-value store KEY-VALUE_SECRET_ENGINE_PATH. 動作成功。
Error executing action "List Key-Value Secret Keys". Reason: Invalid value was provided for "Max Records to Return": PROVIDED_VALUE. Positive number should be provided.

動作失敗。

請檢查 Max Records to Return 參數值。
Error executing action "List Key-Value Secret Keys". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。

乒乓

在 Google SecOps Content Hub 頁面的整合設定頁面，使用提供的參數測試與 HashiCorp Vault 安裝項目的連線能力。

實體

這項動作不會對實體執行。

動作輸入內容

不適用

動作輸出內容

動作輸出類型
案件總覽附件 不適用
案件總覽連結 不適用
案件總覽表格 不適用
補充資訊表格 不適用
實體洞察 不適用
洞察資料 不適用
JSON 結果 不適用
OOTB 小工具 不適用
指令碼執行結果 可用
指令碼執行結果
指令碼結果名稱 值
is_success True/False
JSON 結果

不適用

案件總覽

這項動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully connected to the HashiCorp Vault installation with the provided connection parameters! 動作成功。
Failed to connect to the HashiCorp Vault installation! Error is ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。

讀取鍵/值 Secret

根據提供的條件，讀取儲存在 HashiCorp Vault 的鍵/值 Secret。

實體

這項動作不會對實體執行。

動作輸入內容

如要設定整合，請使用下列參數：

參數
Key-Value Secret Engine Path 選填

用於鍵/值 Secret 儲存空間的路徑。僅支援第 2 版。 這個參數用於與儲存在儲存空間中的密鑰互動，以及建構 https://IP_ADDRESS:8200/v1/secret/data/SECRET_TO_FETCH_FROM_THE_KV_STORE 等網址。

預設值為 secret。
Secret Path 必要

要擷取的 Secret 路徑。這項動作接受資料夾名稱。

範例：如果 Secret 路徑資料夾名稱為 my-secret，鍵/值儲存庫路徑為 secret，則要擷取的完整路徑為 https://IP_ADDRESS:8200/v1/secret/data/my-secret。

如未提供值，動作會傳回儲存在 Secret 引擎中的所有 Secret 金鑰。

預設值為 https://IP_ADDRESS:8200.
Secret Version 選填

要擷取的 Secret 版本。
JSON Expression Builder 選填

JSON 運算式，用於篩選密鑰中的特定資料子集。

範例如下：| "data" | "data" | "key0"。

動作輸出內容

動作輸出類型
案件總覽附件 不適用
案件總覽連結 不適用
案件總覽表格 不適用
補充資訊表格 不適用
實體洞察 不適用
洞察資料 不適用
JSON 結果 可用
OOTB 小工具 不適用
指令碼執行結果 可用
指令碼執行結果
指令碼結果名稱 值
is_success True/False
JSON 結果
{
 "request_id": "8b020faf-808f-34c2-5348-c04871ee6594",
 "lease_id": "",
 "renewable": false,
 "lease_duration": 0,
 "data": {
   "data": {
     "key0": "value0"
   },
   "metadata": {
     "created_time": "2023-04-11T10:56:34.766417394Z",
     "custom_metadata": null,
     "deletion_time": "",
     "destroyed": false,
     "version": 1
   }
 },
 "wrap_info": null,
 "warnings": null,
 "auth": null
}
案件總覽

這項動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully fetched secret SECRET_PATH. 動作成功。
Error executing action "Read Key-Value Secret". Reason: Incorrect JSON value is provided for the Expression Builder.

動作失敗。

請檢查 JSON Expression Builder 參數值。
Error executing action "Read Key-Value Secret". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。