Vault를 시간 기반 일회용 비밀번호(TOTP)로 MFA 구성하기
Vault를 시간 기반 일회용 비밀번호(TOTP)로 MFA 구성하기
이 페이지는 Vault의 ACL 경로에서 TOTP MFA를 설정하는 방법을 보여줍니다.
출처: 문서
본문
구성
- 적절한 인증 메서드 활성화하기.
$ vault auth enable userpass
- 활성화한 인증 메서드의 마운트 액세서 가져오기.
$ vault auth list -detailed
응답은 다음과 같습니다.
Path Type Accessor Plugin Default TTL Max TTL Replication Description
---- ---- -------- ------ ----------- ------- ----------- -----------
token/ token auth_token_289703e9 n/a system system replicated token based credentials
userpass/ userpass auth_userpass_54b8e339 n/a system system replicated n/a
- TOTP MFA 구성하기.
참고: 사용 중인 인증기(authenticator)가 지원하는 알고리즘을 고려하세요. 예를 들어 Android용 Google Authenticator는
algorithm값으로 SHA1만 지원합니다.
$ vault write sys/mfa/method/totp/my_totp \
issuer=Vault \
period=30 \
key_size=30 \
algorithm=SHA256 \
digits=6
- 위에서 만든 MFA 메서드를 통해 secret에 접근을 주는 정책 생성하기.
$ vault policy write totp-policy -<<EOF
path "secret/foo" {
capabilities = ["read"]
mfa_methods = ["my_totp"]
}
EOF
- 사용자 생성하기. MFA는 ID 정보가 있는 토큰에만 작동합니다. 인증 메서드로 로그인하여 만든 토큰에는 관련 ID 정보가 있습니다. userpass 인증 메서드에 사용자를 만들고 그에 대해 인증합니다.
$ vault write auth/userpass/users/testuser \
password=testpassword \
policies=totp-policy
- 로그인 토큰 생성하기.
$ vault write auth/userpass/login/testuser \
password=testpassword
Key Value
--- -----
token 70f97438-e174-c03c-40fe-6bcdc1028d6c
token_accessor a91d97f4-1c7d-6af3-e4bf-971f74f9fab9
token_duration 768h
token_renewable true
token_policies [default totp-policy]
token_meta_username "testuser"
참고: CLI는 아직 새로 만든 토큰으로 인증되지 않았습니다. vault login을 호출하지 않고 로그인 API를 사용해 단순히 토큰을 반환받은 것입니다.
- 토큰에서 엔티티 ID 가져오기. 호출자 ID는 토큰의
entity_id속성으로 표현됩니다.
$ vault token lookup 70f97438-e174-c03c-40fe-6bcdc1028d6c
Key Value
--- -----
accessor a91d97f4-1c7d-6af3-e4bf-971f74f9fab9
creation_time 1502245243
creation_ttl 2764800
display_name userpass-testuser
entity_id 307d6c16-6f5c-4ae7-46a9-2d153ffcbc63
expire_time 2017-09-09T22:20:43.448543132-04:00
explicit_max_ttl 0
id 70f97438-e174-c03c-40fe-6bcdc1028d6c
issue_time 2017-08-08T22:20:43.448543003-04:00
meta map[username:testuser]
num_uses 0
orphan true
path auth/userpass/login/testuser
policies [default totp-policy]
renewable true
ttl 2764623
- 엔티티에 연결된 TOTP 메서드 생성하기. 이 값을 의도된 사용자에게 배포해 TOTP 패스코드를 생성할 수 있게 해야 합니다.
$ vault write sys/mfa/method/totp/my_totp/admin-generate \
entity_id=307d6c16-6f5c-4ae7-46a9-2d153ffcbc63
Key Value
--- -----
barcode iVBORw0KGgoAAAANSUhEUgAAAM...
url otpauth://totp/Vault:307d6c16-6f5c-4ae7-46a9-2d153ffcbc63?algo...
base64 인코딩된 png 바코드나 url 중 하나를 최종 사용자에게 제공해야 합니다. 이 바코드/url을 Google Authenticator나 유사한 TOTP 도구에 로드해 코드를 생성할 수 있습니다.
- 사용자로 로그인하기.
$ vault login 70f97438-e174-c03c-40fe-6bcdc1028d6c
mfa플래그를 지정해 secret을 읽기.
$ vault read -mfa my_totp:146378 secret/data/foo
Key Value
--- -----
refresh_interval 768h
data MFA 검증 후에만 읽을 수 있는 데이터