[NHN FORWARD 22] 실전 Vault 도입기

HashiCorp가 만든 시크릿 저장·관리 도구로서의 Vault를 소개한다. 스토리지 백엔드에 암호화 파일로 저장하고, 처음 켜면 봉인(sealed) 상태이며 Shamir 방식으로 언실 키를 5명이 나눠 갖고 그중 3개로 활성화하는 특징을 설명한다. 바이너리·도커로 어디서든 실행 가능하다.

Vault를 GitHub과 연동해 사용자 인증을 붙이는 방법을 시연한다. NHN은 GitHub 엔터프라이즈를 쓰며 개인 액세스 토큰을 생성해 조직 이름 기반으로 로그인한다. 회사 개발자들이 이미 GitHub 계정을 갖고 있어 별도 계정 발급 없이 바로 연동되는 점이 장점이다.

키 파일 대신 CA(Certificate Authority) 방식으로 서버에 접속하는 흐름을 설명한다. 사용자가 공개키를 만들어 Vault에 서명 요청을 보내면 TTL이 짧은 인증서를 발급받고, 이를 .ssh에 넣으면 별도 설정 없이 접속된다. Ansible(awx) 배포 툴에도 동일하게 연동해 배포가 나간다.

개인키가 아닌 아이디·패스워드로만 접속하던 서버를 위해 OTP 방식을 도입한 과정이다. 타겟 서버에 Vault 에이전트를 설치해 OTP 유효성을 검사하게 하고, 웹 UI에서 발급한 비밀번호로 접속한다. SSH 데몬 설정과 에이전트 로그인 권한 부여 등 튜토리얼 기반 설정을 소개한다.

단일 서버가 과부하·네트워크 장애로 죽으면 모든 서버 접속이 불가능해지는 위험을 막기 위해 Raft 기반 클러스터를 구성한다. 존별 로드밸런서 아래 리더 1대와 팔로워들을 두고, 리더 다운 시 과반수 투표로 새 리더를 선출한다. 도커 이미지 컬럼 수를 늘려 효율을 개선한 경험도 공유한다.

쇼핑몰 솔루션에서 매번 DB를 확인해야 하는 문제를 Vault의 동적 시크릿으로 풀어 MySQL 계정을 자동 생성·만료 모니터링한다. 클라우드 서버 접근용 암호화 파일 요청 등 다양한 시크릿 엔진을 소개하며, 아직 구현하지 못한 기능도 많다고 덧붙인다.

GitHub 접근 정책·클러스터 과반수 다운 시 API 수신 불가·사용자 관리가 별도라는 세 가지 한계를 정리한다. 다만 자동 언실 등 부가 기능으로 많이 나아졌고, 문의 채널이 몰리던 초기를 지나 팀에 잘 정착해 쓰고 있다고 마무리한다. 이어 GitHub 엔터프라이즈·스토리지 백업 관련 Q&A가 이어진다.