在 AWS Summit Taiwan 2021 上講的 HashiCorp Vault
source link: https://blog.gslin.org/archives/2021/09/28/10349/%e5%9c%a8-aws-summit-taiwan-2021-%e4%b8%8a%e8%ac%9b%e7%9a%84-hashicorp-vault/
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
在 AWS Summit Taiwan 2021 上講的 HashiCorp Vault
今年的 AWS Summit Taiwan 2021 是線上的形式，早在前一個月前就先預錄好，但開始的時候就忘記要宣傳一下了... 結果是在找資料的時候發現其他人有提到：「AWS實作紀錄 #2：高可用性保管服務 (2021 AWS Summit Taiwan)」。
投影片與影片如果有興趣的人可以去 AWS 活動頁面上看，或者上面提到的那篇。
這次講的主題是想要在雲端上面搭建 Vault，但又不希望自己搞一堆 High Availability 的架構，最好是雲端服務本身就有提供... 而既然是在 AWS 的場子，主要都還是以 AWS 的服務來搭建。
在這次的設計裡，Vault 的資料是放在 DynamoDB 上，然後透過 KMS 管理加密用的，這兩個服務本身都有 High Availability，所以直接用就可以了。
接下來是跑 Vault 程式的部份，這部份得自己處理 High Availability 的架構，我是用兩台很小台的 EC2 instance (t4g.nano) 在跑，這邊也可以換成 ECS 或是 EKS 的 container。
接下來把這兩台 EC2 instance 掛起來的也都是 High Availability 服務：在 EC2 instance 前面用 ELB 擋住提供 HTTP API 服務，另外這邊即使是內部用，也可以上 HTTPS (透過 ACM 掛上 HTTPS 的憑證)。
在 ELB 上看到只有一台機器活著是正常的，因為兩台機器之間是 active-standby 架構，同時間只會有一台機器在運作，而 lock 的機制是 Vault 透過 DynamoDB 實做的，不需要另外處理。
其實裡面大多數的元件都可以抽換，像是 DynamoDB 也可以用其他的服務來當儲存層，馬上可以想到的是 RDS 的 MySQL 或是 PostgreSQL。
概念上不算困難，所以投影片上主要就是給設定檔，這樣方便大家抄，不用在自己摸指令摸半天...
Related
貴不少的 DynamoDB On-Demand...
DynamoDB 用起來比較困難的部份就是規劃 R/W capacity，所以 AWS 就推出了 DynamoDB On-Demand，直接計算用多少而不用規劃 R/W capacity：「Amazon DynamoDB On-Demand – No Capacity Planning and Pay-Per-Request Pricing」。 先講一下歷史，在 2014 的時候 Jeff Barr 就有在「Auto Scale DynamoDB With Dynamic DynamoDB」這邊提到開一台 t1.micro 在上面跑程式實做 DynamoDB 的 auto scaling。 另外在 2017 年的時候 AWS 自己推出了同樣的功能，就不需要開機器了，交給 AWS 的服務處理就可以了：「New – Auto Scaling for Amazon DynamoDB」。 所以就一般性的需求來說，其實目前的方案夠用：常態性的需求提昇，以及有預期性的活動時可以手動事前提昇。…
November 29, 2018In "AWS"
AWS 允許 Hybrid Cloud 下的 DNS Query
AWS 對於 Hybrid Cloud (混合雲，通常是講與傳統機房的混搭應用，也就是雲端跟地端的混搭) 推出兩個功能，一個是讓 AWS 的 DNS Resolver 對於某些 domain 可以回機房端查詢 (雲端查詢地端 domain)。另外一種是反過來，讓機房端的 DNS Resolver 可以查 AWS 這邊的資料 (地端查詢雲端 domain)：「New – Amazon Route 53 Resolver for Hybrid Clouds」。 兩者都可以自己幹，但就得花功夫自己架設，而且有很多細節得處理： 建立 EC2 instance，在上面跑 Unbound，然後 EC2 instance 的 DNS servers 設定要指到這邊。 由於 EC2 的 DHCP 服務沒有辦法指定發放的 IP range，所以為了多重意外而中獎 (關機的時候剛好有其他機器 DHCP…
November 20, 2018In "AWS"
Colin Percival 希望 AWS 有 us-chaos-1 (us-fail-1？)
在 Daily Hacker News 上看到的東西，這個網站會每天會演算法整理出 Hacker News 上十則消息 (就如同名字)，對於還不錯，這次有趣的是這個網站的作者 Colin Percival 自己在 Twitter 上講的東西也被收進去了... 他目前的主力服務應該是 Tarsnap，主打的是只有使用者有 key 能解開的雲端加密備份服務。這個服務放在 AWS 上，所以才會有這則： I want to have an AWS region where everything breaks with high frequency. EC2 networks dropping packets, EBS volumes hanging and failing, entire AZs dropping offline, etc. If it breaks…
August 12, 2020In "AWS"
Author Gea-Suan LinPosted on September 28, 2021Categories AWS, Cloud, Computer, Murmuring, Network, Security, Service, SoftwareTags 2021, acm, amazon, api, aws, cloud, container, credential, dynamodb, ec2, ecs, eks, elb, hashicorp, instance, kms, online, security, service, summit, taiwan, token, vault Leave a Reply Cancel reply
Your email address will not be published. Required fields are marked *
Comment
Name *
Email *
Website
Notify me of follow-up comments by email.
Notify me of new posts by email.
Post navigation
Recommend
About Joyk
Aggregate valuable and interesting links.
Joyk means Joy of geeK