如何安全运行采用mTLS的HashiCorp Vault？解决启动密钥安全问题

针对你用Docker Compose部署mTLS模式Vault时，启动密钥（vault.key）需挂载磁盘的安全隐患，以下是几种实用的解决思路：

1. 用Docker Secrets存储密钥（Swarm模式） #

Docker Secrets会加密存储机密内容，容器内以只读方式访问，避免密钥暴露在宿主机普通目录。修改docker-compose.yml如下：

version: "3.9"
services:
  vault:
    image: hashicorp/vault:latest
    container_name: vault
    restart: unless-stopped
    ports:
      - "8200:8200"
    environment:
      VAULT_ADDR: "https://vault:8200"
      VAULT_API_ADDR: "https://vault:8200"
    command: server
    cap_add:
      - IPC_LOCK
    volumes:
      - vault-data:/vault/data
    secrets:
      - vault.crt
      - vault.key
      - ca.pem
    configs:
      - source: vault-config
        target: /vault/config/config.hcl
secrets:
  vault.crt:
    file: ./certs/vault.crt
  vault.key:
    file: ./certs/vault.key
  ca.pem:
    file: ./certs/ca.pem
configs:
  vault-config:
    file: ./config.hcl
volumes:
  vault-data:

同步修改config.hcl中的证书路径为Docker Secrets的默认路径：

listener "tcp" {
  address     = "0.0.0.0:8200"
  tls_disable = "false"
  tls_cert_file = "/run/secrets/vault.crt"
  tls_key_file = "/run/secrets/vault.key"
  tls_client_ca_file = "/run/secrets/ca.pem"
  tls_require_and_verify_client_cert = "true"
}

2. 本地机密管理工具注入密钥 #

• Vault Agent方案：搭建一个基础初始化的Vault节点，用Vault Agent的Auto-Auth功能提前拉取启动所需的证书密钥，注入到容器的临时目录（如tmpfs），容器启动后临时目录自动销毁，避免密钥持久化。
• systemd机密存储：若宿主机是Linux，将密钥存入systemd加密存储，通过tmpfs挂载到容器，确保密钥仅在内存中存在。

3. 集成Vault PKI引擎实现自动轮换 #

如果你的mTLS证书由Vault自身PKI引擎签发，可配置证书自动轮换，同时用Vault Agent模板功能实时将最新证书/密钥注入容器临时路径。这种方式需先初始化Vault并配置PKI引擎，适合已运行的集群优化。

4. 强化宿主机文件权限（基础防护） #

如果暂时无法使用以上方案，先通过权限限制降低风险：

• 给宿主机的vault.key设置严格权限：

  chmod 600 ./certs/vault.key
  chown root:root ./certs/vault.key
  

• 修改Docker Compose挂载为只读模式：

  volumes:
    - ./config.hcl:/vault/config/config.hcl:ro
    - ./certs/vault.crt:/certs/vault.crt:ro
    - ./certs/vault.key:/certs/vault.key:ro
    - ./certs/ca.pem:/certs/ca.pem:ro
  

5. 硬件安全模块（HSM）集成 #

将vault.key存储在HSM（如AWS CloudHSM、HashiCorp Vault HSM集成）中，Vault启动时直接从HSM调用密钥，完全避免磁盘存储私钥。这种方式安全性最高，适合生产环境高安全需求场景。

内容的提问来源于stack exchange，提问作者Michal Špondr