terraform使用vault动态管多理云账号AK/SK

为了使用 Terraform 和 HashiCorp Vault 动态管理多个云账号的 Access Key (AK) 和 Secret Key (SK)，可以按照以下步骤实现安全、自动化的凭证管理：

一、架构概述

核心组件：

• Vault：存储或动态生成云账号的 AK/SK，提供临时凭证。

• Terraform：通过 Vault 动态获取 AK/SK，用于云资源操作。

流程：

• Terraform 通过 Vault 认证（如 AppRole）获取临时 AK/SK。

• 使用临时 AK/SK 配置云服务商的 Terraform Provider。

• 执行 Terraform 操作（plan/apply）

二、Vault 配置（以 AWS 为例）

1. 启用 AWS 秘密引擎

vault secrets enable aws

2. 配置 AWS 凭证（Vault 主账号）

vault write aws/config/root \access_key=AKIAxxxxxxxxxxxxxx \secret_key=xxxxxxxxxxxxxxxxxxxx \region=us-west-2

3. 创建动态 IAM 角色

vault write aws/roles/terraform-role \credential_type=iam_user \policy_document=-<<EOF
{"Version": "2012-10-17","Statement": [{"Effect": "Allow","Action": ["ec2:*", "s3:*"],"Resource": ["*"]}]
}
EOF

三、Terraform 集成 Vault

1. 配置 Vault Provider

# main.tf
provider "vault" {address = "http://vault-server:8200"auth_login {path = "auth/approle/login"parameters = {role_id   = var.vault_role_idsecret_id = var.vault_secret_id}}
}

2. 从 Vault 获取动态 AWS 凭证

data "vault_aws_access_credentials" "creds" {backend = "aws"role    = "terraform-role"
}provider "aws" {region     = "us-west-2"access_key = data.vault_aws_access_credentials.creds.access_keysecret_key = data.vault_aws_access_credentials.creds.secret_key
}

3. 使用凭证创建资源

resource "aws_s3_bucket" "example" {bucket = "my-dynamic-bucket"
}

四、多云账号管理

1. Vault 中配置多账号

为每个云账号创建独立的 Vault 角色和路径：

# 阿里云账号1
vault write alicloud/roles/account1 \access_key=AKID1 \secret_key=SK1# 阿里云账号2
vault write alicloud/roles/account2 \access_key=AKID2 \secret_key=SK2

2. Terraform 动态选择账号

通过变量选择 Vault 路径：

variable "cloud_account" {type    = stringdefault = "account1"
}data "vault_generic_secret" "alicloud" {path = "alicloud/creds/${var.cloud_account}"
}provider "alicloud" {access_key = data.vault_generic_secret.alicloud.data["access_key"]secret_key = data.vault_generic_secret.alicloud.data["secret_key"]region     = "cn-hangzhou"
}

五、自动化凭证轮换

1. Vault 动态生成临时凭证

使用 AWS STS 生成临时 Token：

vault write aws/roles/terraform-role \credential_type=federation_token \policy_document=@policy.json

2. Terraform 自动更新凭证

每次执行 terraform apply 时自动获取新凭证：

1. data "vault_aws_access_credentials" "creds" {backend = "aws"role    = "terraform-role"type    = "creds"  # 强制每次获取新凭证
   }

六、安全最佳实践

最小权限原则：

• Vault 生成的 IAM 角色仅授予必要权限。

审计与监控：

vault audit enable file file_path=/var/log/vault-audit.log

加密通信：

• Vault 和 Terraform 间使用 HTTPS。

临时凭证有效期：

vault write aws/config/lease lease=1h lease_max=24h

七、完整示例代码

Vault + AWS 动态凭证

# main.tf
provider "vault" {address = "http://vault:8200"token   = var.vault_token
}data "vault_aws_access_credentials" "creds" {backend = "aws"role    = "terraform-role"
}provider "aws" {region     = "us-west-2"access_key = data.vault_aws_access_credentials.creds.access_keysecret_key = data.vault_aws_access_credentials.creds.secret_key
}resource "aws_instance" "example" {ami           = "ami-0c55b159cbfafe1f0"instance_type = "t3.micro"
}

八、操作步骤

初始化 Vault 并配置秘密引擎：

vault secrets enable aws
vault write aws/config/root access_key=... secret_key=...
vault write aws/roles/terraform-role policy_document=...

运行 Terraform：

export VAULT_TOKEN="s.xxxxxxxxx"
terraform init
terraform apply

总结

通过 Terraform 和 Vault 的集成，可以实现：

• 动态凭证管理：避免硬编码 AK/SK。

• 多账号支持：灵活切换不同云账号。

• 自动轮换：减少凭证泄露风险。

• 审计跟踪：记录所有凭证使用行为。

此方案适用于需要高安全性和多账号管理的云基础设施场景。