हैशिकॉर्प वॉल्ट - उत्पादन में सेटअप/आर्किटेक्चर

Question

मैं अपने वेब एप्लिकेशन के साथ हैशिकॉर्प वॉल्ट स्थापित करने के लिए तैयार हो रहा हूं, और उदाहरण हैशिकॉर्प उदाहरण प्रदान करता है, मैं थोड़ा सा अस्पष्ट हूं कि इच्छित उत्पादन सेटअप क्या होना चाहिए।

मेरे मामले में, मेरे पास है:

• एडब्ल्यूएस EC2 अपने वेब आवेदन
• एक जोड़े EC2 निरंतर तैनाती

के लिए जेनकींस की सेवा उदाहरणों की सेवा मामलों की एक छोटी मुट्ठी और मैं की जरूरत है:

• मेरे कॉन्फ़िगरेशन सॉफ़्टवेयर (उत्तरदायी) और जेनकिंस डेप के दौरान रहस्य पढ़ने में सक्षम होने के लिए सक्षम होंगे लॉयमेंट
• कंपनी में कर्मचारियों को आवश्यकतानुसार रहस्य पढ़ने की अनुमति देने के लिए, और संभावित रूप से, कुछ प्रकार के उपयोग के लिए अस्थायी लोगों को उत्पन्न करने के लिए।

मैं शायद वॉल्ट के लिए भंडारण बैकएंड के रूप में S3 का उपयोग कर रहा हूं।

मैं सवालों के प्रकार हैं:

1. वॉल्ट चाहिए मेरे सभी EC2 उदाहरणों पर चल रहा है, और 127.0.0.1:8200 पर सुन रहा हो सकता है?

2. या क्या मैं एक उदाहरण (उपलब्धता के लिए शायद 2) बना सकता हूं जो सिर्फ वॉल्ट चलाता है और अन्य उदाहरण/सेवाएं गुप्त पहुंच के लिए आवश्यक लोगों से जुड़ती हैं?

3. यदि मुझे कर्मचारियों को उनकी स्थानीय मशीनों से रहस्यों तक पहुंचने में सक्षम होने की आवश्यकता होती है, तो यह कैसे काम करता है? क्या वे एस 3 स्टोरेज के खिलाफ स्थानीय रूप से वॉल्ट सेट करते हैं, या क्या वे अपने रहस्यों तक पहुंचने के लिए चरण 2 से रिमोट सर्वर के आरईएसटी एपीआई को मार रहे हैं?

4. और स्पष्ट होने के लिए, वॉल्ट चलाने वाली कोई भी मशीन, अगर इसे पुनरारंभ किया जाता है, तो वॉल्ट को फिर से अनदेखा करने की आवश्यकता होगी, जो कि मैन्युअल प्रक्रियाओं की एक्स संख्या शामिल है?

Answer 1

वॉल्ट, एक क्लाइंट-सर्वर वास्तुकला में चलता है तो आप वॉल्ट सर्वर की एक समर्पित समूह होना चाहिए availability mode में चल रहा है (आमतौर पर 3 छोटे-मध्यम प्रतिष्ठानों के लिए उपयुक्त है)।

वॉल्ट सर्वर शायद आंतरिक निजी आईपी से जुड़ना चाहिए, 127.0.0.1 नहीं, क्योंकि वे आपके वीपीसी के भीतर पहुंच योग्य नहीं होंगे। आप निश्चित रूप से 0.0.0.0 को बांधना चाहते हैं, क्योंकि आपके उदाहरण में सार्वजनिक आईपी होने पर वॉल्ट सार्वजनिक रूप से सुलभ हो सकता है।

आप प्रमाण पत्र पर विज्ञापित आईपी से जुड़ना चाहते हैं, चाहे वह आईपी या DNS नाम हो। आपको केवल उत्पादन-ग्रेड आधारभूत संरचना में टीएलएस पर वॉल्ट के साथ संवाद करना चाहिए।

कोई भी और सभी अनुरोध उन वॉल्ट सर्वरों के माध्यम से जाते हैं। यदि अन्य उपयोगकर्ताओं को वॉल्ट के साथ संवाद करने की आवश्यकता है, तो उन्हें वीपीएन या बुशन होस्ट के माध्यम से वीपीसी से कनेक्ट करना चाहिए और इसके खिलाफ अनुरोध जारी करना चाहिए।

जब वॉल्ट चलाने वाली मशीन को पुनरारंभ किया जाता है, तो वॉल्ट को अनदेखा करने की आवश्यकता होती है।यही कारण है कि आपको एचए मोड में वॉल्ट चलाना चाहिए, इसलिए दूसरा सर्वर अनुरोध स्वीकार कर सकता है। जब सर्वर को अनदेखा करने की आवश्यकता होती है तो आप आपको सूचित करने के लिए निगरानी और सतर्कता सेट कर सकते हैं (वॉल्ट एक विशेष स्थिति कोड देता है)।

आप अधिक टिप्स के लिए production hardening guide भी पढ़ सकते हैं।