hashicorp/vault-plugin-database-redis

Vault Redis数据库插件镜像

镜像概述

该镜像为HashiCorp Vault提供Redis数据库后端插件的容器化部署形式。作为Vault的后端插件，其核心功能是与独立Redis服务器集成，实现数据库凭证的安全管理，包括静态/动态用户角色生成及根凭证自动轮换。该插件专为容器环境设计，仅支持运行在Linux操作系统上的Vault服务器。

核心功能和特性

• Vault后端集成：作为HashiCorp Vault的官方兼容插件，扩展Vault对Redis数据库的凭证管理能力
• 角色管理：支持两种用户角色类型
  • 静态角色：创建固定权限的持久化Redis用户
  • 动态角色：按需生成具有生命周期管理的临时Redis用户
• 凭证轮换：自动执行独立Redis服务器的根凭证轮换，降低长期凭证风险
• 容器化部署：优化用于容器环境中运行Vault插件的场景
• 系统兼容性：仅支持Linux平台上部署的Vault服务器

使用场景和适用范围

• 采用HashiCorp Vault进行密钥管理的Redis数据库环境
• 需要动态生成和自动轮换Redis访问凭证的安全敏感场景
• 部署独立Redis服务器（非集群模式）的系统架构
• 容器化部署Vault插件的基础设施环境
• 运行在Linux操作系统上的Vault服务器实例

使用方法和配置说明

前提条件

• 运行在Linux系统上的HashiCorp Vault服务器（已初始化并 unseal）
• 可网络访问的独立Redis服务器
• Docker环境（用于运行插件容器）
• Vault服务器已配置插件目录和必要的插件加载权限

基本使用流程

1. 获取插件镜像

从Docker仓库拉取官方镜像（具体镜像名称请参考HashiCorp官方发布渠道）：

bash
docker pull hashicorp/vault-plugin-database-redis:[版本标签]

2. 注册插件到Vault

将插件二进制文件从容器复制到Vault插件目录（需根据实际路径调整）：

bash
# 创建Vault插件目录（如未存在）
mkdir -p /vault/plugins

# 从容器复制插件二进制
docker run --rm -v /vault/plugins:/plugins hashicorp/vault-plugin-database-redis:[版本标签] cp /bin/vault-plugin-database-redis /plugins/

# 计算插件SHA256哈希值
SHA256=$(shasum -a 256 /vault/plugins/vault-plugin-database-redis | cut -d' ' -f1)

# 注册插件到Vault
vault plugin register -sha256=$SHA256 database vault-plugin-database-redis

3. 配置Redis数据库连接

启用Vault的database secrets引擎并配置Redis连接：

bash
# 启用database secrets引擎
vault secrets enable database

# 配置Redis数据库连接
vault write database/config/redis \
  plugin_name="vault-plugin-database-redis" \
  connection_url="redis://{{username}}:{{password}}@redis-server:6379/" \
  username="redis-root-username" \
  password="redis-root-password" \
  allowed_roles="*"

4. 创建角色配置

根据需求创建静态或动态角色：

动态角色示例（生成临时凭证）：

bash
vault write database/roles/redis-dynamic-role \
  db_name="redis" \
  creation_statements="HSET {{username}} password {{password}} permissions \"read,write\"" \
  default_ttl="1h" \
  max_ttl="24h"

静态角色示例（创建持久化用户）：

bash
vault write database/static-roles/redis-static-role \
  db_name="redis" \
  username="app-user" \
  rotation_period="24h" \
  creation_statements="HSET app-user password {{password}} permissions \"read-only\""

5. 生成和使用凭证

动态凭证获取：

bash
vault read database/creds/redis-dynamic-role

静态凭证轮换：

bash
vault rotate database/static-creds/redis-static-role

参考文档

• 官方插件仓库：https://github.com/hashicorp/vault-plugin-database-redis
• Vault数据库插件文档：HashiCorp Vault Database Secrets Engine