Vault를 PingID로 MFA 구성하기
Vault를 PingID로 MFA 구성하기
이 페이지는 Vault의 ACL 경로에서 PingID MFA를 설정하는 방법을 보여줍니다.
출처: 문서
본문
구성
- 적절한 인증 메서드 활성화하기.
$ vault auth enable userpass
- 활성화한 인증 메서드의 마운트 액세서 가져오기.
$ vault auth list -detailed
응답은 다음과 같습니다.
Path Type Accessor Plugin Default TTL Max TTL Replication Description
---- ---- -------- ------ ----------- ------- ----------- -----------
token/ token auth_token_289703e9 n/a system system replicated token based credentials
userpass/ userpass auth_userpass_54b8e339 n/a system system replicated n/a
- PingID MFA 구성하기.
$ vault write sys/mfa/method/pingid/ping \
mount_accessor=auth_userpass_54b8e339 \
settings_file_base64="AABDwWaR..."
- 위에서 만든 MFA 메서드를 통해 secret에 접근을 주는 정책 생성하기.
$ vault policy write ping-policy -<<EOF
path "secret/foo" {
capabilities = ["read"]
mfa_methods = ["ping"]
}
EOF
- 사용자 생성하기. MFA는 ID 정보가 있는 토큰에만 작동합니다. 인증 메서드로 로그인하여 만든 토큰에는 관련 ID 정보가 있습니다. userpass 인증 메서드에 사용자를 만들고 그에 대해 인증합니다.
$ vault write auth/userpass/users/testuser \
password=testpassword \
policies=ping-policy
- 로그인 토큰 생성하기.
$ vault write auth/userpass/login/testuser password=testpassword
Key Value
--- -----
token 70f97438-e174-c03c-40fe-6bcdc1028d6c
token_accessor a91d97f4-1c7d-6af3-e4bf-971f74f9fab9
token_duration 768h0m0s
token_renewable true
token_policies [default ping-policy]
token_meta_username "testuser"
참고: CLI는 아직 새로 만든 토큰으로 인증되지 않았습니다. vault login을 호출하지 않고 로그인 API를 사용해 단순히 토큰을 반환받은 것입니다.
- 토큰에서 엔티티 ID 가져오기. 호출자 ID는 토큰의
entity_id속성으로 표현됩니다.
$ vault token lookup 70f97438-e174-c03c-40fe-6bcdc1028d6c
Key Value
--- -----
accessor a91d97f4-1c7d-6af3-e4bf-971f74f9fab9
creation_time 1502245243
creation_ttl 2764800
display_name userpass-testuser
entity_id 307d6c16-6f5c-4ae7-46a9-2d153ffcbc63
expire_time 2017-09-09T22:20:43.448543132-04:00
explicit_max_ttl 0
id 70f97438-e174-c03c-40fe-6bcdc1028d6c
issue_time 2017-08-08T22:20:43.448543003-04:00
meta map[username:testuser]
num_uses 0
orphan true
path auth/userpass/login/testuser
policies [default ping-policy]
renewable true
ttl 2764623
- 사용자로 로그인하기.
$ vault login 70f97438-e174-c03c-40fe-6bcdc1028d6c
- PingID 푸시를 트리거하기 위해 secret을 읽기. 이 호출은 푸시 알림이 승인되거나 거부될 때까지 차단됩니다.
$ vault read secret/foo
Key Value
--- -----
refresh_interval 768h
data MFA 검증 후에만 읽을 수 있는 데이터