Laboratório: Gerenciamento e Rotação Automatizada de Segredos com HashiCorp Vault e PostgreSQL

Roteiro para estudo em ambiente de laboratório ou de teste. Execute apenas em equipamentos, redes e contas que você tenha autorização para usar, com backup e homologação próprios. Comandos podem causar indisponibilidade ou perda de dados. Software e marcas citados pertencem aos seus titulares. Termos de Uso.

Duração estimada

120 min

Passos

12

Validações

5

Versões da documentação consultada

HashiCorp Vault a versão estável atual · PostgreSQL a versão estável atual · psql (cliente PostgreSQL) a versão estável atual

Topologia

Uma máquina virtual ou host físico executando três serviços: Vault (porta 8200), PostgreSQL (porta 5432) e um cliente de linha de comando. O Vault conecta-se localmente ao PostgreSQL para criar e gerenciar usuários dinâmicos. O usuário interage via CLI do Vault.

┌────────────┐        ┌──────────────┐
│  Cliente   │──────▶│   Vault      │
│ (CLI/API)  │       │ (localhost)  │
└────────────┘        │ 8200         │
                     │              │
                     ▼              │
                ┌──────────────┐    │
                │ PostgreSQL   │◀───┘
                │ (localhost)  │
                │ 5432         │
                └──────────────┘

Equipamentos e software

Roteiro

1. Instalar o Vault

   Você precisa do Vault instalado para gerenciar segredos. Use o repositório oficial para garantir a versão estável.

   curl -fsSL https://apt.releases.hashicorp.com/gpg | sudo gpg --dearmor -o /usr/share/keyrings/hashicorp-archive-keyring.gpg
   sudo apt-add-repository "deb [signed-by=/usr/share/keyrings/hashicorp-archive-keyring.gpg] https://apt.releases.hashicorp.com $(lsb_release -cs) main"
   sudo apt update && sudo apt install vaultCopiar

   O que você deve ver: Vault instalado e disponível no PATH. 'vault --version' retorna a versão.

2. Instalar o PostgreSQL

   O PostgreSQL será o banco de dados alvo para rotação de segredos. Instale a versão estável do repositório padrão.

   sudo apt update && sudo apt install postgresql postgresql-contribCopiar

   O que você deve ver: Serviço 'postgresql' ativo. 'psql --version' retorna a versão.

3. Configurar usuário administrador no PostgreSQL

   O Vault precisa de um usuário com permissão para criar e revogar usuários. Crie um usuário 'vaultadmin' com senha forte.

   sudo -u postgres psql -c "CREATE ROLE vaultadmin WITH LOGIN PASSWORD 'SenhaForte123' SUPERUSER;"Copiar

   O que você deve ver: CREATE ROLE

4. Iniciar o Vault em modo dev

   O modo dev é prático para laboratório, mas não use em produção. Ele roda em memória e facilita testes rápidos.

   vault server -dev -dev-root-token-id=root &
   export VAULT_ADDR='http://127.0.0.1:8200'Copiar

   O que você deve ver: Vault server started! Root Token: root

5. Exportar variável de ambiente do token

   Facilita o uso do CLI sem passar token em cada comando.

   export VAULT_TOKEN=rootCopiar

   O que você deve ver: Variável VAULT_TOKEN definida

6. Habilitar o secrets engine de banco de dados

   O Vault precisa do engine 'database' para gerenciar credenciais dinâmicas.

   vault secrets enable databaseCopiar

   O que você deve ver: Success! Enabled the database secrets engine

7. Configurar a conexão do Vault com o PostgreSQL

   O Vault precisa saber como conectar ao PostgreSQL usando o usuário 'vaultadmin'.

   vault write database/config/postgresql \
       plugin_name=postgresql-database-plugin \
       allowed_roles="readonly" \
       connection_url="postgresql://vaultadmin:SenhaForte123@localhost:5432/postgres?sslmode=disable"Copiar

   O que você deve ver: Success! Data written to: database/config/postgresql

8. Criar uma role dinâmica para usuários de leitura

   Defina como o Vault criará e revogará usuários temporários no PostgreSQL.

   vault write database/roles/readonly \
       db_name=postgresql \
       creation_statements="CREATE ROLE \"{{name}}\" WITH LOGIN PASSWORD '{{password}}' VALID UNTIL '{{expiration}}'; GRANT SELECT ON ALL TABLES IN SCHEMA public TO \"{{name}}\";" \
       default_ttl="1h" \
       max_ttl="24h"Copiar

   O que você deve ver: Success! Data written to: database/roles/readonly

9. Gerar credencial dinâmica de leitura

   Peça ao Vault para criar um usuário temporário no PostgreSQL.

   vault read database/creds/readonlyCopiar

   O que você deve ver: Retorna username, password e lease_duration

10. Testar acesso ao PostgreSQL usando a credencial dinâmica

    Garanta que a credencial criada realmente acessa o banco.

    psql -h localhost -U <username> -d postgres -WCopiar

    O que você deve ver: Acesso concedido com permissão de leitura

11. Revogar manualmente a credencial dinâmica

    Simule a rotação ou expiração manual revogando o lease.

    vault lease revoke <lease_id>Copiar

    O que você deve ver: Lease revoked

12. Verificar que o usuário foi removido do PostgreSQL

    Confirme que o usuário dinâmico não existe mais.

    sudo -u postgres psql -c "\du"Copiar

    O que você deve ver: Usuário dinâmico não listado

Como saber que funcionou

Troubleshooting

Segurança e hardening

• Nunca use modo dev do Vault em produção
• Use senhas fortes e únicas para o usuário administrador
• Restrinja o acesso de rede às portas 8200 e 5432 apenas para hosts autorizados
• Revogue credenciais dinâmicas imediatamente após o uso em ambientes sensíveis
• Audite logs de acesso ao Vault e ao PostgreSQL

Checklist final

• Vault instalado e em execução
• PostgreSQL instalado e acessível
• Usuário administrador criado no PostgreSQL
• Secrets engine de database habilitado no Vault
• Conexão Vault-PostgreSQL configurada
• Role dinâmica criada
• Credencial dinâmica emitida e validada
• Revogação de lease testada