Различия

Показаны различия между двумя версиями страницы.

--- product:settings:system:vault [20.09.2024 13:14] – [Изменения в конфигурационном файле] ekaterina.menkhuzina
+++ product:settings:system:vault [19.11.2024 10:23] (текущий) – [Примеры фрагментов из конфигурационного файла] ekaterina.menkhuzina
@@ Строка 1: / Строка 1: @@
 ====== Настройка хранения строк подключения в Hashicorp Vault ======
-''Начиная с версии системы 3.29'', чтобы повысить безопасность хранения секретов (паролей, токенов/маркеров-доступа, API-ключей, закрытых криптографических ключей и т.п.) можно настроить подключение системы ADVANTA к СУБД, или сервису [[product:settings:system:active_directory|Active Directory]] через сервис хранения секретов HashiCorp Vault.
+''Начиная с версии системы 3.30'', чтобы повысить безопасность хранения секретов (паролей, токенов/маркеров-доступа, API-ключей, закрытых криптографических ключей и т.п.) можно настроить подключение системы ADVANTA к СУБД или сервису [[product:settings:system:active_directory|Active Directory]] через сервис хранения секретов HashiCorp Vault.
 В этом случае в системе или файлах конфигурации не будут храниться пароли к сервисам и службам компании.
@@ Строка 8: / Строка 8: @@
   - Добавить раздел с перечнем ключей, получаемых из сервиса хранения секретов для строк соединения с СУБД.
   - Добавить раздел для получения секрета для сервисов [[product:settings:system:active_directory|Active Directory]] (если используется).
+  - После получения секретов, добавить алгоритм замены паролей - выполняется получение всех секретов и их перечень интерпретируется как набор именованных ключей, после чего, выполняется подстановка значений найденных ключей на их значение.
 ===== Изменения в конфигурационном файле =====
 Необходимые изменения в конфигурационном файле ''client.config'' для запуска системы через получение паролей из сервиса хранения секретов HashiCorp Vault:
-  - В разделе ''<configSections>'' добавить ''<section name= ″hashiCorpVault″ type=″Config.HashiCorpVaultConfigurationSection, smcorelib″/>'', параметр будет использоваться как индикатор необходимости использовать Hashicorp Vault.
+  - В разделе ''<configSections>'' добавить обработку наличия секции ''<section name= ″hashiCorpVault″ type=″Config.HashiCorpVaultConfigurationSection, SL.App.Config″/>'', которая будет использоваться как индикатор необходимости использовать Hashicorp Vault.
-  - В разделе ''<configuration>'' добавить следующие секции:
+  - В разделе ''<configuration>'' добавить проверку и обработку секций: ''<hashiCorpVault address=″″ roleId=″″ secretId=″″ version=″″ mountPoint=″″ path=″″/>''.
-  * ''<hashiCorpVault address=″″ roleId=″″ secretId=″″>'' с закрывающим тэгом ''</hashiCorpVault>'';
-  * внутри секции ''hashiCorpVault'' добавить список контейнеров ''<containers>''……. ''</containers>'' в которой будет располагаться список контейнеров для заполнения из Hashicorp.
-<callout type="info" icon="true">Формат описания одного контейнера: ''<add id=″″ version=″″ mountPoint=″″ path=″″/>'', где id – название контейнера.
+Секция ''hashiCorpVault'' содержит обязательные атрибуты:
-Доступны названия:
-  * ''adDomainPasswords'' – для [[product:settings:system:active_directory|Active Directory]];
-  * ''dbPasswords'' – для ''connectionString'' в СУБД.
-</callout>
-Параметры для обращения к серверу Hashicorp Vault:
   * ''address'' – адрес сервера Vault, обязательный;
   * ''roleId'' – идентификатор (GUID) роли, обязательный;
-  * ''secretId'' – идентификатор (GUID) секрета, обязательный.
+  * ''secretId'' – идентификатор (GUID) секрета, обязательный;
+  * ''version'' – обязательный параметр, версия контейнера. Возможные варианты: V1, V2.
+  * ''mountPoint'' – обязательный параметр, точка монтирования контейнера секретов;
+  * ''path'' - обязательный параметр, путь к секретам.
+===== Примеры фрагментов из конфигурационного файла =====
+В конфигурационном файле ''client.config'' выполняется поиск ключей вида ''{$key$}'' и замена их на значения ''keyValue'', полученные из ''Vault''.
-Параметры для контейнеров, их может быть 2 вида:
+При наличии в секции ''<configuration>'' секции ''<hashiCorpVault address=″″ roleId=″″ secretId=″″ version=″″ mountPoint=″″ path=″″/>'', пароли будут считаны из хранилища секретов как названия ключей и их значений (пары ''key'', ''keyValue''), для последующей замены.
-. ''dbPasswords'' – контейнер для хранения паролей для подключения к БД, в нем указываются параметры доступа в Hashicorp Vault, где размещен список хранимых секретов для СУБД. Перечень названий параметров, которые могут быть размещены в контейнер совпадает с набором ''connectionString'' из файла конфигурации:
+<callout type="info" icon="true"> Названия ключей в хранилище секретов должны соответствовать всем ''{$key$}'' в заменяемых фрагментах.</callout>
-  * ''db'' – основная база системы;
-  * ''dbCubes'' – база для хранения вынесенных кубов;
-  * ''busDb'' – база хранения данных для шины;
-  * ''sqlServerCacheDb'' – база хранения кэша.
-. ''adDomainPasswords'' – контейнер для хранения паролей учетных записей [[product:settings:system:active_directory|Active Directory]]. В этом контейнере обрабатывается один параметр: ''DOMAIN_NAME''.
+Проверяются на наличие строк шаблона разделы файла конфигурации:
+  * настройки приложения - секция ''<appSettings>'', атрибут ''value'';
+  * настройки [[product:settings:system:active_directory|Active Directory]] - секция ''<adDomains>''/''<domains>'', атрибуты: ''login'', ''password'', ''ldappath'';
+  * настройки [[product:settings:system:open_id|openIdConnect]] - секция ''<openIdConnect>''/''<providers>'', атрибут ''clientSecret''.
-Общие параметры:
+Пример фрагмента из ''client.config'':
-  - ''version'' – обязательный параметр, версия контейнера. Возможные варианты: V1, V2.
+<code csharp>
-  - ''mountPoint'' – обязательный параметр, точка монтирования контейнера секретов.
+<configuration>
-  - ''path'' - обязательный параметр, путь к секретам.
+  <hashiCorpVault address="https://vault.yourcompany.ru:8200" roleId="roleId" secretId="secretId" version="V2" mountPoint="kv-v2" path="dbPasswords"/>
+………….
+</configuration>
+…………..
+  <connectionStrings>
+	<add name="db" providerName="System.Data.SqlClient" connectionString="Server=localhost;Database=b-stable;User ID=SL_APP;Password={$db$};Pooling=true;Max Pool Size=4000; TrustServerCertificate=True" />
+	<add name="dbCubes" providerName="System.Data.SqlClient" connectionString="Server=localhost;Database=b-stable;User ID={$busDB$};Password={$dbCubes$};Pooling=true;Max Pool Size=4000; TrustServerCertificate=True" />
+  </connectionStrings>
+</code>
+<callout type="info" icon="true"> В примере для двух ''connectionString'' name=''″db″'' и ''″dbCubes″'', размещены ключи: ''{$db$}'', ''{$busDB$}'', ''{$dbCubes$}'' - они будут заменены на их значения из хранилища секретов.</callout>
-===== Примеры фрагментов из конфигурационного файла =====