概要

Megazone Japan Advent Calendar 2023の7日目に掲載するTech記事を執筆しました。🫡

この記事では、HashiCorpのVaultをDockerコンテナとしてデプロイし、管理する方法について解説します。Vaultは、セキュリティに敏感なアプリケーションにとって不可欠なツールであり、パスワード、APIキー、証明書などの秘密情報を安全に保管し、アクセスを厳格に管理するために設計されています。Vaultの強力な暗号化機能により、これらの機密データは安全に保護され、適切な権限を持つユーザーのみがアクセスできるようになります。

Dockerを使用することで、Vaultのインストール、設定、アップグレードが簡単になり、異なる環境間でのVaultの移植性と一貫性が向上します。Dockerコンテナは軽量であり、必要な依存関係を含んだ独立した環境を提供するため、Vaultサーバーを迅速に起動し、運用することが可能です。

この記事では、以下のトピックに焦点を当てています。

Vaultコンテナのセットアップ: Vaultの公式Dockerイメージを使用して、Vaultサーバーをコンテナとして実行する方法を説明します。

環境について

本設定環境は以下の通りです。

macOS
Docker Desktop
Python 3.7.17

Vaultコンテナのセットアップについて

Docker pull image

vault imageをPullします。

$ docker pull vault:1.13.3

$ docker images
REPOSITORY   TAG       IMAGE ID       CREATED        SIZE
vault        1.13.3    80d4968b1bbe   2 months ago   246MB

もし、docker pull vault　でコマンドを叩いた場合、以下のエラーが起きたら、VaultのDocker HubからVersionを指定してください。

Error response from daemon: manifest for vault:latest not found: manifest unknown: manifest unknown

Dockerが vault:latest というタグを持つイメージのマニフェストを見つけられなかったことを示しています。Dockerイメージは、特定のバージョンやビルドを識別するためにタグを使用します。latestタグは、通常、リポジトリの最新バージョンのイメージを指しますが、すべてのDockerイメージがlatestタグを持っているわけではありません。HashiCorp Vaultの公式Dockerイメージは、特定のバージョンに対してタグ付けされており、latestタグは提供されていない可能性があります。そのため、docker pull vault:{Version} バージョン番号でタグ付けてコマンドを実行します。

Vault起動

Docker Imageを持ってきたので、次はそのImageを起動します。

$ docker run -d --rm --name vault-dev-server --cap-add=IPC_LOCK -e 'VAULT_DEV_ROOT_TOKEN_ID=mydev-token' -e 'VAULT_DEV_LISTEN_ADDRESS=0.0.0.0:8200' vault:1.13.3

$ docker ps
CONTAINER ID   IMAGE          COMMAND                  CREATED        STATUS        PORTS                    NAMES
ecb1fd17de5c   vault:1.13.3   "docker-entrypoint.s…"   19 hours ago   Up 19 hours   0.0.0.0:8200->8200/tcp   vault-dev-server

Docker runコマンドのOptionsは以下の通りです。

-d: コンテナをバックグラウンドで実行
--rm: コンテナが停止した後に自動的に削除されるように指定
--name vault-dev-server: コンテナにvault-dev-serverという名前を指定
--cap-add=IPC_LOCK: Vaultがメモリ内の機密情報をスワップされないようにロック
（※VaultのDockerHubによると、このOptionはDev環境のみであり、Prod環境には使用してはいけない。 Dev以外の環境でこのOptionを使用しない場合、Configにdisable_mlock: trueを設定する）
-e 'VAULT_DEV_ROOT_TOKEN_ID=mydev-token': 開発モードでVaultを実行する際に使用されるルートトークンID
e 'VAULT_DEV_LISTEN_ADDRESS=0.0.0.0:8200': Vaultがリッスンするアドレスとポートを0.0.0.0:8200に設定。0.0.0.0はすべてのネットワークインターフェースでリッスンすることを意味
vault:1.13.3: 使用するDockerイメージとタグを指定

Vaultサーバーアドレス指定

VAULT_ADDR は、HashiCorp Vaultを使用する際に設定する環境変数の一つで、Vaultサーバーのアドレスを指定するために使用されます。この環境変数は、VaultクライアントがVaultサーバーに接続する際に、サーバーのURLを知るために必要です。

Docker環境でVaultを実行している場合、VAULT_ADDR環境変数は、VaultサーバーのDockerコンテナがリッスンしているホストとポートに対応するURLを設定するために使用されます。例えば、Vaultサーバーがローカルマシン上で動作している場合、VAULT_ADDR 環境変数は通常 http://127.0.0.1:8200 のように設定されます。

$ export VAULT_ADDR='http://127.0.0.1:8200'

Vault UI

では、http://localhost:8200/ui/ にアクセスすると、次のように、VaultのLoginページに移動します。
Token IDはdocker runを実行する際に設定したmydev-tokenを入力し、Sign inボタンをクリックします。

Sign inすると、Secrets Enginesページに移動します。これでVault UIへのアクセスがでしました。

本記事ではUIに関する詳細な説明は行いませんが、タブメニューの操作方法については確認していきましょう。

Accessページ

Policiesページ

Toolsページ

動作確認：Vault Secrets

Secretsのsecret/に移動し、Create secretページでSecretsを追加してみます。

Path for this secret: test
Secret data: mykey / test1234

値を入力したら、Saveボタンをクリックします。次のようにtestというDirが確認できます。

次はSecret dataを取ってみます。
Pythonのhvacを使用します。hvacはHashiCorp Vaultとやり取りするためのPythonライブラリです。hvacは "HashiCorp Vault API client" の略で、VaultのHTTP APIに対するPythonインターフェースを提供します。このライブラリを使用することで、PythonスクリプトやアプリケーションからVaultの機能をプログラム的に利用することができます。

hvacライブラリをインストールするには、通常のPythonパッケージと同様にpipを使用します。

pip install hvac

その後、ライブラリをインポートし、Vaultサーバーに接続して操作を行うことができます。例えば、Vaultに認証してシークレットを取得する基本的なコードは以下のようになります。

import hvac

# Create Vault Client
client = hvac.Client(url='http://127.0.0.1:8200',token="mydev-token")

# Check if authentication is successful
if client.is_authenticated():
  # Read the secret
  read_response = client.secrets.kv.read_secret_version(path='test', raise_on_deleted_version=True)
  print(read_response['data']['data']['mytest'])

Pythonコードを実行した結果、Vault UI上で追加されたmykeyの値を取得できることを確認しました。

最後に

VaultをDockerで運用することで、セキュリティと便利さが手に入りました。設定や管理が簡単になり、開発環境を迅速に構築できるようになったのは大きな利点です。この柔軟性は、今後のプロジェクトにおいても大いに役立つでしょう。
以上、VaultをDockerで管理する方法についての記事でした。ありがとうございました！