Хранение секретов

В целях безопасности в Визионе организовано безопасное хранение секретов (паролей, токенов и т. п.) в защищённом виде. Данная информация хранится в Ansible Vault и считывается в момент старта компонента vision-core. Расположение файла хранилища — /opt/skala-r/vision/.secrets_vault.

Для оперирования содержимым хранилища требуется ключ, выдаваемый разработчиком Визиона.

Работа с хранилищем секретов

Для работы с хранилищем секретов используйте команды утилиты ansible-vault.

  • Просмотр содержимого хранилища:

    ansible-vault view /opt/skala-r/vision/.secrets_vault

  • Редактирование содержимого хранилища:

    ansible-vault edit /opt/skala-r/vision/.secrets_vault

В обоих случаях потребуется ввести пароль от хранилища.

Описание хранимых секретов

В хранилище Ansible Vault хранятся следующие секреты:

vault.alertcollector.basic_auth_password

Пароль BasicAuth для подключения к AlertCollector.

vault.alertmanager.basic_auth_password

Пароль BasicAuth для подключения к AlertManager.

vault.auth.client_secret

Секрет, используемый для подключения сервера Визиона к IAM.

vault.auth.tech_auth_client_secret

Секрет технического клиента Avanpost для использования в синхронизации пользователей в качестве получателей рассылки.

vault.auth.tech_auth_password

Пароль технической учётной записи IAM для использования в синхронизации пользователей в качестве получателей рассылки.

vault.database.dsn

Строка подключения к служебной БД PostgreSQL в следующем формате:

postgresql://<username>:<password>@<host>:<port>/<database>

Здесь:

  • <username> — имя пользователя;

  • <password> — пароль пользователя;

  • <host> — IP-адрес или доменное имя мастера PostgreSQL;

  • <port> — порт для подключения к PostgreSQL.

  • <database> — название служебной БД в кластере PostgreSQL.

vault.general.cookie_secret_key

Ключ, используемый для работы с cookie.

vault.grafana.metrics.basic_auth_password

Пароль BasicAuth для получения метрик Grafana.

vault.grafana.security.admin_password

Пароль администратора Grafana по умолчанию.

Его можно изменить перед первым запуском Grafana или в настройках профиля.

vault.plagent.token

Токен для подключения к агенту Платформы.

vault.smtp_config.smtp_auth_password

Пароль для подключения к SMTP-серверу для отправки сообщений о сработавших правилах оповещений.

vault.snmp_notifier.basic_auth_password

Пароль BasicAuth для подключения к SNMP-шлюзу.

vault.snmp_notifier.snmp_authentication_password

Пароль аутентификации для подключения к SNMP-шлюзу.

vault.snmp_notifier.snmp_private_password

Пароль для защиты подключения к SNMP-шлюзу.

vault.victorialogs.basic_auth_password

Пароль BasicAuth для подключения к VictoriaLogs.

vault.victoriametrics.basic_auth_password

Пароль BasicAuth для подключения к VictoriaMetrics.

vault.vision_backup.basic_auth_password

Пароль BasicAuth для подключения к службе резервного копирования конфигурации Визион.

vault.vision_iamsyncer.basic_auth_password

Пароль BasicAuth для подключения к iamsyncer.

vault.vision_utilizer.basic_auth_password

Пароль BasicAuth для подключения к vision_utilizer.

vault.vlagent_agent.basic_auth_password

Пароль BasicAuth для подключения к агенту логов.

vault.vlagent_proxy.basic_auth_password

Пароль BasicAuth для подключения к прокси логов.

vault.vmagent_agent.basic_auth_password

Пароль BasicAuth для подключения к агенту метрик.

vault.vmagent_proxy.basic_auth_password

Пароль BasicAuth для подключения к прокси метрик.

vault.vmalert.basic_auth_password

Пароль BasicAuth для подключения к vmalert.

vault.vmalert_external_integration.auth.basic_auth.password

Пароль Basic Auth для внешней интеграции alertmanager.

vault.vmalert_external_integration.auth.bearer_token.token

Bearer token для внешней интеграции alertmanager.

vault.vmalert_external_integration.auth.oauth2.client_secret

Секрет клиента OAuth2 для внешней интеграции alertmanager.

vault.vmalert_vl.basic_auth_password

Пароль BasicAuth для подключения к vmalert_vl.