Vault Auto-Unseal (On-Prem)

HashiCorp VaultTransit Secret EngineKubernetes / VMs

Vault öffnet sich automatisch nach Pod- oder Node-Neustart. Keine Cloud-KMS-Abhängigkeit.

Problem

Nach jedem Vault-Pod-Neustart war ein manuelles Unseal erforderlich. Für produktive On-Premises-Umgebungen nicht praktikabel.

Lösung

Einen dedizierten Vault A mit Transit Secret Engine als Unseal-Provider deployed. Vault B mit einer Seal-Stanza konfiguriert, die über Transit auf Vault A zeigt.

Ergebnis

Vault B startet und öffnet sich automatisch. Kein manueller Eingriff erforderlich. Vollständig On-Prem.

Umsetzung

—Vault A: Transit Secret Engine aktiviert, dient als Unseal-Provider
—Vault B: seal "transit" Stanza in vault.hcl konfiguriert
—Vault A einmalig mit Shamir-Keys initialisiert (offline, sicher)
—Getestet: Pod-Neustart, Node-Drain, vollständiger Cluster-Neustart
—Keine Abhängigkeit von AWS KMS, GCP Cloud KMS oder Azure Key Vault