Параметр vault#

Последовательность параметров vault предназначена для конфигурирования взаимодействия с Системой управления секретами.

Название

Обязательность

Описание

Возможные значения

Значение по умолчанию

enabled

Опциональный

Включает/отключает работу с Системой управления секретами. Если параметр vault объявлен, то работа с Системой управления секретами по умолчанию включена.

true, false

—

runtime_update

Опциональный

Включает/отключает обновление секретов профиля из Vault при операциях запуска/перезапуска/reload. По умолчанию отключено — секреты подтягиваются только в момент конфигурирования профиля

true, false

—

auto_update

Опциональный

Включает/отключает обновление секретов в фоновом режиме

true, false

—

auto_update_expire_delta

Опциональный

Период времени в секундах до истечения срока действия секрета, при котором необходимо выполнить автоматическое обновление секрета

Целочисленное значение

2678400

auto_update_type

Опциональный

Тип автоматического обновления

expire — обновление по истечении указанного срока действия; always — обновление происходит всегда

expire

url

Опциональный

URL системы управления секретами

Текстовое значение

—

ssl

Опциональный

Настройки SSL для подключения к Vault

Группа параметров и их значения

—

ssl.enabled

Опциональный (в рамках ssl)

Включение/отключение проверки серверного сертификата secman по предоставленной CA цепочке сертификатов

true, false

true

ssl.ca

Обязательный (если ssl.enabled: true)

Список доверенных сертификатов для верификации

Текстовое значение

—

ssl.certificate

Опциональный (если certificate_key is not None)

Клиентский сертификат

Текстовое значение

—

ssl.certificate_key

Опциональный (если certificate is not None)

Ключ клиентского сертификата

Текстовое значение

—

storages

Опциональный

Хранилища секретов

Последовательность параметров и их значения

—

storages.url

Опциональный (в рамках storages)

URL хранилища для поиска секретов

Текстовое значение

—

storages.ssl

Опциональный (в рамках storages)

Сертификат хранилища для поиска секретов

Текстовое значение

—

storages.path

Обязательный (в рамках storages)

Имя хранилища для поиска секретов (например, «/DEV/SOWA/CF/KV/»)

Текстовое значение

—

storages.approle_role_id_file

Опциональный (в рамках storages)

Путь к файлу с идентификатором роли approle

Текстовое значение

—

storages.approle_wrapped_token_file

Обязательный (если approle_role_id_file is not None)

Путь к файлу с идентификатором секрета approle

Текстовое значение

—

storages.approle_wrapped_token_field

Опциональный (если approle_wrapped_token_file is not None)

Имя ключа json, используемого при unwrap токена, содержащего secret_id

Текстовое значение

—

storages.approle_namespace

Обязательный (если approle_role_id_file is not None)

Approle namespace

Текстовое значение

—

storages.secrets

Опциональный (в рамках storages)

Секреты хранилища

Последовательность параметров и их значения

—

storages.secrets.type

Опциональный (в рамках secrets)

Тип секрета. Если не указан, по умолчанию используются KV-секреты

sberca, kv

kv

storages.secrets.base64_decode

Опциональный (в рамках secrets)

Вкл./Откл. декодирование секрета из base64

true, false

false

storages.secrets.name

Обязательный (в рамках secrets)

Имя секрета

Текстовое значение

—

storages.secrets.key

Обязательный (если type: kv или type не указан)

Ключ секрета

Текстовое значение

—

storages.secrets.certificate_alias

Обязательный (если type: sberca)

Алиас для выпущенного через SberCA сертификата

Текстовое значение

—

storages.secrets.key_alias

Обязательный (если type: sberca и format: pem)

Алиас для приватного ключа выпущенного через SberCA сертификата

Текстовое значение

—

storages.secrets.ca_alias

Опциональный (в рамках secrets)

Алиас для цепочки сертификатов, подписавших выпущенный через SberCA сертификат

Текстовое значение

—

storages.secrets.format

Обязательный (если type: sberca)

Формат выпускаемого сертификата

pem, pem_bundle, jks

—

storages.secrets.email

Опциональный (если type: sberca)

Email для сертификата

Текстовое значение

—

storages.secrets.alias

Обязательный (если type: kv или type не указан)

Алиас секрета

Текстовое значение

—

storages.secrets.common_name

Обязательный (если type: sberca)

Common Name для сертификата

Текстовое значение

—

storages.secrets.alt_names

Опциональный (если type: sberca)

Альтернативные имена субъектов (имена хостов или адреса электронной почты)

Текстовое значение

—

storages.secrets.other_sans

Опциональный (если type: sberca)

Настраиваемые SAN со строкой OID/UTF8. Формат: <oid>;<type>:<value> (соответствует формату OpenSSL)

Последовательность текстовых значений

—

storages.secrets.ip_sans

Опциональный (если type: sberca)

Запрашиваемые IP Subject Alternative Names. Действителен, если роль разрешает IP SAN

Последовательность текстовых значений

—

storages.secrets.uri_sans

Опциональный (если type: sberca)

Запрашиваемые URI Subject Alternative Names

Последовательность текстовых значений

—

storages.secrets.exclude_cn_from_sans

Опциональный (если type: sberca)

Если включен, common_name не будет включен в DNS или Email Subject Alternate Names. Полезно, если CN — не имя хоста или email, а человекочитаемый id

Булево значение

—