HashiCorp Vault PKI

HashiCorp Vault'un PKI gizli bilgi motoru, kısa ömürlü sertifikaları talep üzerine üretebilen bir iç sertifika otoritesi (CA) gibi çalışır. Mikroservisler arası mTLS ve iç ağ hizmetleri için uygundur; halka açık web siteleri için tarayıcıların güvendiği bir CA sertifikası gerekir.

PKI Motorunu Kurma

vault secrets enable pki
vault secrets tune -max-lease-ttl=8760h pki

vault write pki/root/generate/internal \
  common_name="Ornek Ic CA" ttl=8760h

vault write pki/config/urls \
  issuing_certificates="https://vault.ornek.local:8200/v1/pki/ca" \
  crl_distribution_points="https://vault.ornek.local:8200/v1/pki/crl"

Üretimde kök CA'yı doğrudan Vault'ta tutmak yerine çevrimdışı bir kök ve Vault'ta ara CA kullanmak daha güvenli bir yaklaşımdır.

Rol Tanımlama ve Sertifika İsteme

vault write pki/roles/ornek-servis \
  allowed_domains="ornek.local" \
  allow_subdomains=true \
  max_ttl=72h

vault write pki/issue/ornek-servis \
  common_name="api.ornek.local" ttl=24h

Ne Zaman Kullanılır?

• Sık yenilenen, kısa ömürlü sertifika gereken iç hizmetlerde.
• İstemcilerin iç CA'ya güvenecek şekilde yapılandırılabildiği ortamlarda.
• Herkese açık siteler için uygun değildir; orada tarayıcı kök mağazalarında yer alan bir CA'nın SSL sertifikaları gerekir.

Pratik İpuçları

1. TTL'leri kısa tutup uygulamalarda otomatik yenilemeyi (Vault Agent vb.) kullanın.
2. Rol başına izin verilen alan adlarını sıkı tanımlayın.
3. İptal gerekirse CRL yayınını ve erişilebilirliğini izleyin.
4. Kök CA sertifikasını istemci güven depolarına kontrollü dağıtın.

Çıktıları SSL kontrol aracıyla ya da openssl x509 -text -noout ile inceleyebilirsiniz.