Hashicorp Vault VPS: Gestão Dinâmica de Secrets

A gestão de credenciais é um dos desafios mais críticos em qualquer infraestrutura moderna. Hardcodar senhas em arquivos de configuração, variáveis de ambiente expostas ou scripts shell não é apenas uma má prática; é uma falha de segurança grave. Neste tutorial, vamos explorar como implementar o HashiCorp Vault em um ambiente VPS dedicado, transformando a maneira como sua aplicação lida com segredos. O objetivo é alcançar uma gestão de secrets robusta, automatizada e segura.

O HashiCorp Vault não é apenas um repositório estático; ele é uma ferramenta dinâmica que pode gerar credenciais sob demanda. Isso significa que, em vez de compartilhar uma senha de banco de dados estática entre cinco desenvolvedores, o Vault gera uma nova credencial temporária para cada sessão, revogando-a automaticamente ao final do uso. Este tutorial cobre desde a instalação no Linux até a configuração de backends dinâmicos.

1. Preparação do Ambiente e Requisitos

Antes de instalar o Vault, é fundamental garantir que seu servidor VPS esteja preparado para operar com segurança. O Vault exige recursos mínimos estáveis e uma conexão segura. Recomendamos um VPS com pelo menos 2 vCPUs e 4GB de RAM para ambientes de produção leve, embora para testes a configuração mínima seja inferior.

Primeiro, atualize o sistema operacional e instale dependências básicas necessárias para baixar e verificar os pacotes:

1. Atualize os repositórios do seu sistema Linux:

sudo apt update && sudo apt upgrade -y

Em seguida, instale ferramentas essenciais como wget, gnupg e curl:

1. Instale dependências:

sudo apt install wget gnupg curl -y

Dica de segurança: Nunca execute o Vault como usuário root em produção. Crie um usuário dedicado para a aplicação.

2. Install Vault Linux: Instalação no Debian/Ubuntu

O processo oficial de instalação do HashiCorp envolve adicionar o repositório GPG oficial e instalar o binário via gerenciador de pacotes. Isso garante que você receba atualizações de segurança diretamente da fonte.

1. Adicione a chave GPG oficial:

curl -fsSL https://apt.releases.hashicorp.com/gpg | sudo apt-key add -

1. Adicione o repositório ao seu sistema:

sudo apt-add-repository "deb [arch=amd64] https://apt.releases.hashicorp.com $(lsb_release -cs) main"

1. Instale o pacote vault:

sudo apt install vault -y

Após a instalação, verifique se a ferramenta está acessível e qual versão foi instalada:

vault version

Você deve receber uma saída indicando a versão do Vault e do Protocolo API. Se o comando retornar um erro de "command not found", verifique seu $PATH ou reinstale o pacote.

3. Configuração Inicial e Modo Dev

Para entender o funcionamento interno, começaremos com o modo de desenvolvimento. Este modo inicializa o Vault na memória RAM, sem necessidade de persistência em disco (o que é perigoso para produção, mas excelente para testes rápidos). Crie um arquivo de configuração básico chamado vault.hcl:

touch vault.hcl
nano vault.hcl

Dentro do arquivo, insira a seguinte configuração:

listener "tcp" {
  address = "127.0.0.1:8200"
  tls_disable = 1
}

storage "inmem" {}

seal "unsealed"

disable_mlock = true

Agora, inicie o servidor Vault em segundo plano (background):

vault server -config=vault.hcl &

O terminal exibirá logs. Anote o Token Root e o Unseal Key que aparecem no log inicial. Em seguida, exporte a variável de ambiente para facilitar o uso da CLI:

export VAULT_ADDR='http://127.0.0.1:8200'

4. Autenticação e Primeiros Comandos

Agora que o servidor está rodando, precisamos nos autenticar para interagir com ele. Use o token root encontrado no log anterior:

vault login <SEU_TOKEN_ROOT>

Com a autenticação realizada, vamos explorar o sistema de arquivos do Vault. O Vault organiza dados em chaves (paths). Vamos criar uma chave simples para armazenar uma senha estática:

vault kv put secret/minha-senha password="MinhaSenhaSuperSegura123"

Para recuperar esse dado, use o comando read:

vault kv get secret/minha-senha

Isto demonstra a funcionalidade básica de gestão de secrets, mas ainda não exploramos o poder dinâmico do Vault.

5. Habilitando Backends Dinâmicos

O grande diferencial do HashiCorp Vault VPS é a capacidade de gerar segredos dinamicamente. Em vez de armazenar uma senha, configuramos o Vault para falar com um serviço externo (como AWS, MySQL ou Kubernetes) e solicitar uma nova credencial sempre que necessário.

Vamos habilitar o backend KV (Key-Value) em sua versão v2, que suporta versionamento:

vault secrets enable -version=2 kv

Agora, vamos configurar um exemplo prático com o banco de dados MySQL. Primeiro, habilite o plugin de database:

vault auth enable database

Configure as credenciais mestre que o Vault usará para criar usuários temporários no seu banco de dados real:

vault write database/config/my-mysql-database \
  plugin_name=mysql-database-plugin \
  allowed_roles="db-role" \
  connection_url="mysql://{{username}}:{{password}}@tcp(db-host.example.com:3306)/myapp" \
  username="admin_user" \
  password="admin_password"

Defina a política de rotação (ex: credenciais válidas por 1 hora):

vault write database/roles/db-role \
  db_name=my-mysql-database \
  creation_statements="CREATE USER '{{name}}'@'%' IDENTIFIED BY '{{password}}'; GRANT SELECT ON myapp.* TO '{{name}}'@'%';" \
  ttl="1h"

6. Gerando Segredos Dinâmicos via API

Agora, a mágica acontece. Ao solicitar uma credencial ao Vault, ele não devolve uma senha estática. Ele conecta ao seu banco de dados real, cria um novo usuário com privilégios limitados e retorna as credenciais que expiram automaticamente.

vault read database/creds/db-role

A saída conterá campos como username e password, além de um campo lease_id. É crucial gerenciar esse lease. Quando o tempo expirar, você deve revogar a credencial:

vault lease revoke database/creds/db-role/...<ID_DO_LEASE>

Essa abordagem elimina o risco de senhas vazadas permanecerem válidas indefinidamente. Para aplicações modernas, utilize a API do Vault para integrar isso diretamente ao seu código (Python, Node.js, Go), fazendo requisições HTTP para http://127.0.0.1:8200/v1/database/creds/db-role.

7. Segurança e Hardening em Produção

O modo de desenvolvimento e as configurações locais são apenas o início. Para colocar o Vault em produção em sua VPS, siga rigorosamente estas etapas:

1. Habilitar TLS/SSL: Nunca exponha o Vault sem criptografia. Configure certificados SSL (use Let's Encrypt ou um certificado interno) e altere a configuração para ouvir em HTTPS.

listener "tcp" {
  address = "0.0.0.0:8200"
  tls_cert_file = "/path/to/cert.pem"
  tls_key_file = "/path/to/key.pem"
}

2. Persistência de Dados: Troque o storage inmem por file (para testes) ou, idealmente, um backend como Consul, S3 ou Azure Blob Storage. O armazenamento local em disco é frágil se o servidor for reiniciado sem backup.

storage "file" {
  path = "/opt/vault/data"
}

3. Unseal Automático: O Vault inicia bloqueado (sealed). Em produção, use o recurso de Auto-Unlock para desbloqueá-lo automaticamente usando um serviço KMS (Key Management Service) como AWS KMS ou HashiCorp Cloud Platform.

4. Acesso Restrito: Não exponha a porta 8200 diretamente à internet. Use um proxy reverso (Nginx/Traefik) com autenticação adicional e restrinja o acesso via Firewall (UFW/iptables) apenas aos IPs das suas aplicações.

8. Integração com CI/CD e DevOps Tools

No contexto de cloud infrastructure e pipelines de integração contínua, o Vault brilha ao substituir variáveis de ambiente sensíveis em arquivos como .env.

Utilize a CLI do Vault ou ferramentas como vault-env para injetar segredos no momento do deploy. Um exemplo comum é usar o Sidecar Injector com Kubernetes, mas em ambientes de VPS simples, scripts shell podem buscar as credenciais dinamicamente antes de iniciar o serviço.

Exemplo de script de inicialização seguro:

#!/bin/bash
TOKEN=$(vault token lookup -format=json | jq -r '.data.token_id')
# Lógica para obter a senha dinâmica e passar ao serviço via stdin ou variável segura
vault read -field=password database/creds/db-role > /tmp/db_pass.tmp
chmod 600 /tmp/db_pass.tmp
# Iniciar aplicação lendo do arquivo temporário
./minha-aplicacao --db-password-file=/tmp/db_pass.tmp

Conclusão

A implementação de um HashiCorp Vault VPS representa um salto qualitativo na maturidade de segurança da sua infraestrutura. Ao migrar de segredos estáticos para uma arquitetura de segredos dinâmicos, você reduz drasticamente a superfície de ataque e simplifica a auditoria.

Este tutorial cobriu desde o install vault linux básico até a configuração avançada de backends dinâmicos. Lembre-se: a segurança é um processo contínuo. Monitore os logs do Vault, roteie seus certificados com frequência e mantenha suas chaves de desbloqueio (Unseal Keys) armazenadas em cofres físicos ou gerenciadores de senhas offline.

Para sysadmins e DevOps engineers, dominar essas ferramentas não é apenas uma vantagem competitiva, mas uma exigência do mercado atual de api security e compliance. Comece hoje a mover seus segredos para fora do código fonte e para dentro do Vault.