Hashicorp VaultのPKI Secerts Engineを試す

HashicorpのVaultはPKI（Public Key Infrastructure、公開鍵基盤）として利用できるらしい。今回はRoot CAの作成、サーバー証明書の作成、クライアント証明書の作成と失効を試した。間違ってたらゴメンなさい。Vaultについての概要はWEB+DB PRESS Vol.104に記事が書かれているので読むとよさそう。

準備

Vaultのバージョンはv0.10.1。macOS用のバイナリをダウンロードして、PATHの通った場所に置いた。

➤ vault version
Vault v0.10.1 ('756fdc4587350daf1c65b93647b2cc31a6f119cd')

curlはHomwbrewでインストールし、opensslを使うようにしている。

➤ curl --version
curl 7.59.0 (x86_64-apple-darwin16.7.0) libcurl/7.59.0 OpenSSL/1.0.2o zlib/1.2.8
Release-Date: 2018-03-14
Protocols: dict file ftp ftps gopher http https imap imaps ldap ldaps pop3 pop3s rtsp smb smbs smtp smtps telnet tftp
Features: AsynchDNS IPv6 Largefile NTLM NTLM_WB SSL libz TLS-SRP UnixSockets HTTPS-proxy

Homebrewでcurlをインストールした時のコマンド。

➤ brew install curl --with-openssl
➤ brew link curl --force

nginxもHomebrewでインストールした。

➤ nginx -v
nginx version: nginx/1.13.12

Vault serverサーバーの初期化・ログイン

まずはvault serverを用意する。ファイルで諸々を設定。バックエンドにはファイルを使うことにした。また、vaultのAPIをTLSなしで利用できるようにしておく。

disable_mlock = true

listener "tcp" {
  address = "0.0.0.0:8200"
  tls_disable = 1
}

backend "file" {
  path = "./secrets"
}

シュッと起動。

➤ vault server -config=vault.hcl
==> Vault server configuration:

Cgo: disabled
Listener 1: tcp (addr: "0.0.0.0:8200", cluster address: "0.0.0.0:8201", tls: "disabled")
Log Level: info
Mlock: supported: false, enabled: false
Storage: file
Version: Vault v0.10.1
Version Sha: 756fdc4587350daf1c65b93647b2cc31a6f119cd

==> Vault server started! Log data will stream in below:

ターミナルの別セッションを開いて、initからのunseal、login。このあたりは長いので実行コマンドだけ。

➤ vault init
➤ vault operator unseal R4ltBqjMeWg1ouKU02YeV4wxxc8qAQdQ2xH1m84z+jT1
➤ vault operator unseal 2MKCTBnYuFlOg1nhdy45dPXrCbQ3zLgQODf7XqGQ5edW
➤ vault operator unseal igJGlnwWqO/S3pH30r6HwylKPSOrA6Ekrw6bQ0YHwtuz
➤ vault login

これで利用準備が整った。

Root CAの作成

まずはRoot CAを作るのだが、vaultでPKIを有効にする必要がある。vault secrets enableコマンドを使う。

➤ vault secrets enable -path=alpaca -description="Alpaca Root CA" -max-lease-ttl=87600h pki
Success! Enabled the pki secrets engine at: alpaca/

これで、PKIタイプのsecretとしてalpacaができた。

➤ vault secrets list
Path Type Description
---- ---- -----------
alpaca/ pki Alpaca Root CA
cubbyhole/ cubbyhole per-token private secret storage
identity/ identity identity store
secret/ kv key/value secret storage
sys/ system system endpoints used for control, policy and debugging

Generate Root APIを使ってRoot CAを作る。

➤ vault write alpaca/root/generate/internal common_name="Alpaca Root CA" ttl=87600h key_bites=4096 exclude_cn_from_sans=true
Key Value
--- -----
certificate -----BEGIN CERTIFICATE-----
MIIDIzCCAgugAwIBAgIUCcDoq0yOld0Y+uzXO14xuMyO/D0wDQYJKoZIhvcNAQEL
[snip]
IdBHItMaNSwMlOnlTDaYN+YSLBJZNRQhTpqglEKoPKZK6Kcp8pm7
-----END CERTIFICATE-----
expiration 1841048532
issuing_ca -----BEGIN CERTIFICATE-----
MIIDIzCCAgugAwIBAgIUCcDoq0yOld0Y+uzXO14xuMyO/D0wDQYJKoZIhvcNAQEL
[snip]
IdBHItMaNSwMlOnlTDaYN+YSLBJZNRQhTpqglEKoPKZK6Kcp8pm7
-----END CERTIFICATE-----
serial_number 09:c0:e8:ab:4c:8e:95:dd:18:fa:ec:d7:3b:5e:31:b8:cc:8e:fc:3d

certificate endpoint / crl distribution points などを設定する。set url apiを使う。

➤ ➤ vault write alpaca/config/urls issuing_certificates="http://127.0.0.1:8200/v1/alpaca/ca" crl_distribution_points="http://127.0.0.1:8200/v1/alpaca/crl"
Success! Data written to: alpaca/config/urls

Root CAまわりはこれでOK。

SSLサーバー証明書を作る

まず、Create Role APでロールを作る。

➤ vault write alpaca/roles/alpacareplinfo key_bites=2048 max_ttl=8760h allow_any_name=true
Success! Data written to: alpaca/roles/alpacareplinfo

Generate Certificate API でCertificateを作る。Private Keyは保存されないので、コマンド実行後に出力されたものを自分で保存しておくこと。certificateとprivate_keyに対応するvalueをファイルに保存する。alpaca.repl.info.crt と alpaca.repl.info.keyとする。

➤ vault write alpaca/issue/alpacareplinfo common_name="alpaca.repl.info" ip_sans="127.0.0.1" ttl=720h foramt=pem
Key Value
--- -----
certificate -----BEGIN CERTIFICATE-----
MIID0DCCArigAwIBAgIUPgktLTjT1Q38xoSajQKaKqPYg2MwDQYJKoZIhvcNAQEL
[snip]
liCiDZ3EW2BFgi63RNATXLqkg0qnPocKh6UN5Q455+RhxlWdDCXfPEnxjCsSQ2Hy
gXd0ExXo4CjQ57pVgNCBU1c9gA0=
-----END CERTIFICATE-----
issuing_ca -----BEGIN CERTIFICATE-----
MIIDIzCCAgugAwIBAgIUCcDoq0yOld0Y+uzXO14xuMyO/D0wDQYJKoZIhvcNAQEL
[snip]
IdBHItMaNSwMlOnlTDaYN+YSLBJZNRQhTpqglEKoPKZK6Kcp8pm7
-----END CERTIFICATE-----
private_key -----BEGIN RSA PRIVATE KEY-----
MIIEpQIBAAKCAQEArxRBksznyg+C0Bd7I/SqIjjo61CT73+3pwQTIb5IWtjiq9D4
[snip]
GbS2BirViEYlPy2obPzbhWoHV9KOu1m1ObRz/xaObhEW8FyewklEgMM=
-----END RSA PRIVATE KEY-----
private_key_type rsa
serial_number 3e:09:2d:2d:38:d3:d5:0d:fc:c6:84:9a:8d:02:9a:2a:a3:d8:83:63

nginxに設定する

nginx.confを用意する。ssl_certificateとssl_certificate_keyに先ほど作成したcertificateとprivate_keyを設定する。

➤ cat nginx.conf
worker_processes  1;

events {
    worker_connections  1024;
}

http {
    server {
        listen                 443 ssl;
        server_name            alpaca.repl.info;

        ssl_certificate        alpaca.repl.info.crt;
        ssl_certificate_key    alpaca.repl.info.key;

        ssl_protocols          TLSv1.2;
        ssl_ciphers            HIGH:!aNULL:!MD5;

        location / {
          root   /usr/local/var/www;
          index  index.html index.htm;
        }
    }
}

nginxを起動して…

➤ sudo nginx -c /path/to/nginx.conf

alpaca.repl.infoでnginxにアクセスできるよう、hostsに追記しておく。

➤ grep alpaca.repl.info /etc/hosts
127.0.0.1 localhost alpaca.repl.info

ここで、curlを使ってアクセスしてみる。nginxで設定したサーバー証明書の検証ができないので、以下のようなエラーとなる。

➤ curl https://alpaca.repl.info
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.haxx.se/docs/sslcerts.html

curl failed to verify the legitimacy of the server and therefore could not
establish a secure connection to it. To learn more about this situation and
how to fix it, please visit the web page mentioned above.

insecureオプションをつけて検証しないようにするとアクセスできる。

➤ curl -k https://alpaca.repl.info
<html><body><h1>It works!</h1></body></html>

ここで、Root CAのcertificateをca.pemとして用意し、–cacertオプションで指定する。これにより、サーバー証明書の検証を行うことができ、アクセスできる。

➤ curl --cacert ca.pem https://alpaca.repl.info
<html><body><h1>It works!</h1></body></html>

クライアント証明書で認証する

認証したい。まずは認証に失敗してアクセスできないことを確認する。nginx.confに設定を追加する。ここではca.pemはRoot CAのcerfiticateを使っている。

ssl_verify_client on;
ssl_client_certificate ca.pem;

アクセス不可になることを確認する。

➤ curl --cacert ca.pem https://alpaca.repl.info
<html>
<head><title>400 No required SSL certificate was sent</title></head>
<body bgcolor="white">
<center><h1>400 Bad Request</h1></center>
<center>No required SSL certificate was sent</center>
<hr><center>nginx/1.13.12</center>
</body>
</html>

クライアント用の証明書と秘密鍵を作る。サーバー証明書を作った時と同様、ロールを作成して証明書を作る。

➤ vault write alpaca/roles/client001 key_bites=2048 max_ttl=8760h allow_any_name=true
Success! Data written to: alpaca/roles/client001

➤ vault write alpaca/issue/client001 common_name="alpaca.repl.info" ip_sans="127.0.0.1" ttl=720h foramt=pem
Key Value
--- -----
certificate -----BEGIN CERTIFICATE-----
MIID0DCCArigAwIBAgIUN9J828bPrc0hAFymYy1bUfHicYcwDQYJKoZIhvcNAQEL
[snip]
yGQuy/YKoC15E5xuk1+y1oHOYsQNPtOXAXGo2qoGKEn78FKzkYgVEB9MkMaica63
L3f5+JatCMlu9PFUazKsAuzJrxg=
-----END CERTIFICATE-----
issuing_ca -----BEGIN CERTIFICATE-----
MIIDIzCCAgugAwIBAgIUCcDoq0yOld0Y+uzXO14xuMyO/D0wDQYJKoZIhvcNAQEL
[snip]
9jVJzSPjoFE3ea+njGR95yxIXT2vD3aznFvShPmlpl7DA/SeeOWe1MtSUb02pcKA
IdBHItMaNSwMlOnlTDaYN+YSLBJZNRQhTpqglEKoPKZK6Kcp8pm7
-----END CERTIFICATE-----
private_key -----BEGIN RSA PRIVATE KEY-----
MIIEpAIBAAKCAQEAw8mDJNdEgf9j8rkcN3mwXYt4hSYDw2P54jBmiuOL4WmbLm1x
[snip]
A3fqBRhroUMkLXPDfJbhi+YRfcYd1OrhodBTNJreDCZ87eW+tV8kWw==
-----END RSA PRIVATE KEY-----
private_key_type rsa
serial_number 37:d2:7c:db:c6:cf:ad:cd:21:00:5c:a6:63:2d:5b:51:f1:e2:71:87

certificateとprivate_keyをファイルに保存し、curlの–certと–keyオプションで指定することでアクセスに成功する。

➤ curl -k --cert client001.crt --key client001.key   https://alpaca.repl.info
<html><body><h1>It works!</h1></body></html>

クライアント証明書を失効させてみる

認証で使うのだから、何かあったときには失効させたい。revoke certificate APIがあって、これを使えば失効させられる。

➤ vault write alpaca/revoke serial_number=37:d2:7c:db:c6:cf:ad:cd:21:00:5c:a6:63:2d:5b:51:f1:e2:71:87
Key Value
--- -----
revocation_time 1525689460
revocation_time_rfc3339 2018-05-07T10:37:40.219554054Z

失効できたが、これだけだとまだアクセスできる。CRLをnginxが参照していないためである。

➤ curl --cert client001.crt --key client001.key --cacert ca.pem  https://alpaca.repl.info
<html><body><h1>It works!</h1></body></html>

API経由でcrl.pemを取得する。

➤ curl http://localhost:8200/v1/alpaca/crl/pem > crl.pem

見てみると、失効したシリアルナンバーである”37:d2:7c:db:c6:cf:ad:cd:21:00:5c:a6:63:2d:5b:51:f1:e2:71:87″がrevoked certificatesに含まれていることがわかる。

➤ openssl crl -in crl.pem -text
Certificate Revocation List (CRL):
Version 2 (0x1)
Signature Algorithm: sha256WithRSAEncryption
Issuer: /CN=Alpaca Root CA
Last Update: May 7 10:37:40 2018 GMT
Next Update: May 10 10:37:40 2018 GMT
CRL extensions:
X509v3 Authority Key Identifier:
keyid:1B:34:31:B1:15:2B:82:E5:48:29:C8:24:D3:D3:FA:7A:26:E5:56:8A

Revoked Certificates:
Serial Number: 37D27CDBC6CFADCD21005CA6632D5B51F1E27187
Revocation Date: May 7 10:37:40 2018 GMT
Signature Algorithm: sha256WithRSAEncryption
b3:09:ec:6d:da:01:c1:e2:c6:53:da:25:69:69:2c:f2:ab:60:
1d:41:f2:cd:44:28:60:b0:43:a5:05:6a:80:58:06:ec:a2:e9:
47:35:28:66:b9:60:4e:69:45:bf:95:0a:87:22:36:2d:9c:0c:
a0:23:45:35:a0:b3:f6:41:32:d0:8b:21:fe:b5:34:37:4d:fd:
84:78:cb:b7:a6:b4:3d:d4:13:23:4f:8d:53:17:3b:e2:88:af:
bf:f5:5e:18:ee:50:97:75:a8:90:29:b6:64:5a:94:f9:eb:a5:
c8:ea:03:af:83:72:03:2c:80:26:55:77:ba:6e:e2:be:f5:db:
c7:a4:68:f5:1c:07:89:45:98:53:0f:90:eb:23:a3:fd:a3:34:
e8:17:7c:58:69:39:1d:86:a0:e1:ee:35:c9:e8:11:63:ed:93:
76:c6:04:98:1d:5c:42:ca:a1:c7:bc:8a:0f:99:18:50:8c:7c:
5f:82:cc:fa:3b:fb:b4:20:ac:5d:92:b7:34:96:38:c9:0a:29:
3d:67:63:a7:f5:f1:f3:5f:61:99:37:53:f8:76:d4:7b:cd:d4:
31:b3:48:6f:1e:68:ff:11:b6:1e:b1:7d:53:b0:c6:b5:d0:e8:
2c:f3:eb:5d:08:49:3c:44:79:b6:17:3a:3f:c5:cb:a3:ed:ba:
57:17:ff:bd
-----BEGIN X509 CRL-----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-----END X509 CRL-----

nginxに設定を追加して、crlを見るようにする。

ssl_crl crl.pem;

再度アクセスを試みるが、bad requestとなり、繋がらなくなることがわかる。

➤ curl --cert client001.crt --key client001.key --cacert ca.pem  https://alpaca.repl.info
<html>
<head><title>400 The SSL certificate error</title></head>
<body bgcolor="white">
<center><h1>400 Bad Request</h1></center>
<center>The SSL certificate error</center>
<hr><center>nginx/1.13.12</center>
</body>
</html>

ひとまず動いたぞ！という記録だが、結構使えそうだなあという感触を得た。Kubernetesのような、いろんなコンポーネントがバシバシ証明書を必要とする環境で役立ちそうである。今回は証明書の配置を手動で行ったが、Consul Templateと組み合わせて自動配布、なんてこともできるので夢が広がるなあ。また、中間CAを扱うこともできるようなので、そちらも試しておきたい。