主页 / 问题 / 1181589
Accepted
hedgehogues
Asked:2020-09-23 21:36:45 +0000 UTC2020-09-23 21:36:45 +0000 UTC

如何从保险库中删除令牌？

  • 772

如何删除保管库中的令牌？它已经被妥协了。这可以通过 UI 完成吗？

在此处输入图像描述

безопасность

1 个回答

  1. Best Answer

    它无法通过 UI 工作。未确定的原因：没有用于此的选项卡。需要注意的是，我是通过root-token进入 UI 的。也许这就是原因。

    为了涵盖整个问题，我们将生成一个新的根令牌，然后我们将撤销它。

    重要的是，在生成根令牌期间。你肯定需要Unseal Key。不幸的是，没有它什么都做不了。如果您没有它，那么很可能访问会随着数据一起丢失而无法挽回。前提是没有其他代币。

    开封钥匙

    在您授予对 Vault 的访问权限之前，在 Vault 启动之后，您会立即收到一个带有Unseal Key. 同时，您指出了打印保险库需要多少钥匙。将来，您将需要相同数量的密钥才能代表 root 执行所有操作。

    逻辑是这样的。收到这些密钥后，它们被分发给不同的人，没有他们的知识，就不可能代表 root 执行操作。

    一代

    vault operator generate-root -init

    您可能会收到此错误：

    Error getting root generation status: Get https://127.0.0.1:8200/v1/sys/generate-root/attempt: dial tcp 127.0.0.1:8200: connect: connection refused

    此错误表明它vault在远程服务器上，而不是在您的机器上。为了指定vault机器的位置，你应该这样做：

    VAULT_ADDR=http://1.2.3.4:5/ vault operator generate-root -init

    你会得到这个输出：

    A One-Time-Password has been generated for you and is shown in the OTP field.
You will need this value to decode the resulting root token, so keep it safe.
Nonce         1592d094-ffb1-9a26-92a1-a9ad5b734cae
Started       true
Progress      0/2
Complete      false
OTP           MXCtP0HIzPmbdtPSDALsknTtHS
OTP Length    26

    写下来OTP。它将被要求接收最终令牌。也需要Nonce。它将适用于每个

    然后，您将被提示输入Unseal Key。进入后，你会得到一个这样的条目：

    Nonce       94021344-dga1-976e-28fe-a8fxs7b74285d
Started     true
Progress    1/2
Complete    false

    她说输入了两个键中的一个。在您的情况下，生成所需的密钥数量可能不同。你还需要输入1，我们输入吧。显然，它必须与现在的不同。否则我们会得到这个：

    Error posting unseal key: Error making API request.

URL: PUT http://1.2.3.4:5/v1/sys/generate-root/update
Code: 400. Errors:

* given key has already been provided during this generation operation

    如果成功，我们得到：

    Nonce            94021344-dga1-976e-28fe-a8fxs7b74285d
Started          true
Progress         2/2
Complete         true
Encoded Token    AkQEE2gNPAoPHAcaFkE/NiYEXHYKCh09PD4

    要获取最终令牌，请使用以下命令：

    VAULT_ADDR=http://1.2.3.4:5/  vault operator generate-root -nonce 3a032bcb-cf2a-bb04-4d22-501c26c0d9c5 -otp qGvvvghzOBm6kWMQ3k8N7HAKGy -decode AkQEE2gNPAoPHAcaFkE/NiYEXHYKCh09PD4

    在这里opt，我们使用我们在第一步nonce以及Encoded Token=AkQEE2gNPAoPHAcaFkE/NiYEXHYKCh09PD4最后一步获得的 。结果是一个如下所示的令牌：

    s.rI2jsplQN724xV3Umj2jMUQm

    它可用于进入保险库：

    在此处输入图像描述

    取消生成

    如果需要中断生成过程，运行

    VAULT_ADDR=http://1.2.3.4:5/ vault operator generate-root -cancel

    代币提现

    VAULT_ADDR=http://1.2.3.4:5/ VAULT_TOKEN=s.rI2jsplQN724xV3Umj2jMUQm vault token revoke -self

    讨论

    在解决这个问题的过程中，我积极地在电报上与 HashiCorp 社区的成员通信。在那里你可以找到关于这句话的对话：

    你好。告诉我如何删除保险库中的令牌？它已经被妥协了。

    你可以熟悉一下。那里有很多细节。

    • 1

相关问题