准备公司和 HashiCorp Vault 服务器密钥。

使用以下命令生成密钥文件：

openssl genrsa -aes256 -out company.key 4096
openssl genrsa -aes256 -out vault.key 2048

这些命令生成了公司私钥 (company.key) 和 Vault 服务器私钥 (vault.key)。这些密钥是随机生成的 RSA 密钥，分别为 4,096 位和 2,048 位。

每个命令都会提示输入密码。出于测试目的，可以省略 -aes256 参数。

这些密钥文件包含敏感信息，应该存储在安全的位置。密码（也很敏感）将在后面使用，因此请将其写下来并存储在安全的位置。

(可选) 要检查密钥文件的内容和有效性，请使用以下命令：

openssl rsa -in company.key -check
openssl rsa -in vault.key -check

创建公司CA证书。

使用以下命令创建一个名为 company.crt 的公司CA证书文件，有效期为365天（在一行中输入命令）：

openssl req -x509 -new -nodes -key company.key
  -sha256 -days 365 -out company.crt

如果您在密钥生成期间使用了 -aes256 参数来执行密钥加密，那么在创建CA证书时，您将被提示输入公司密钥密码。您还将被提示输入证书持有者（即您或您的公司）的信息，如下所示：

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:

回答提示以适当的值。

创建证书签名请求。

要创建HashiCorp Vault服务器证书，需要准备一个证书签名请求（CSR）用于新创建的服务器密钥。创建一个名为 request.conf 的配置文件，包含以下行。如果HashiCorp Vault服务器不在本地主机上运行，请替换适当的CN和IP值，并进行其他必要的更改。

[req]
distinguished_name = vault
x509_entensions = v3_req
prompt = no

[vault]
C = US
ST = CA
L = RWC
O = Company
CN = 127.0.0.1

[v3_req]
subjectAltName = @alternatives
authorityKeyIdentifier = keyid,issuer
basicConstraints = CA:TRUE

[alternatives]
IP = 127.0.0.1

使用以下命令创建签名请求：

openssl req -new -key vault.key -config request.conf -out request.csr

输出文件（request.csr）是一个中间文件，作为创建服务器证书的输入。

创建HashiCorp Vault服务器证书。

使用公司证书（company.crt）签名HashiCorp Vault服务器密钥（vault.key）和CSR（request.csr），以创建HashiCorp Vault服务器证书（vault.crt）。使用以下命令执行此操作（在一行中输入命令）：

openssl x509 -req -in request.csr
  -CA company.crt -CAkey company.key -CAcreateserial
  -out vault.crt -days 365 -sha256

要使 vault.crt 服务器证书有用，需要将 company.crt 公司证书的内容追加到它上面。这是因为公司证书需要与服务器证书一起传递。

cat company.crt >> vault.crt

如果您显示 vault.crt 文件的内容，它应该如下所示：

-----BEGIN CERTIFICATE-----
... content of HashiCorp Vault server certificate ...
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
... content of company certificate ...
-----END CERTIFICATE-----

获取HashiCorp Vault二进制文件。

从 https://www.vaultproject.io/downloads.html 下载适合您平台的HashiCorp Vault二进制文件。

将存档的内容提取到可执行文件 vault 命令中，该命令用于执行HashiCorp Vault操作。如果必要，请将安装命令的目录添加到系统路径中。

(可选) HashiCorp Vault支持自动完成选项，以便更容易使用。有关更多信息，请参阅 https://learn.hashicorp.com/vault/getting-started/install#command-completion。

创建HashiCorp Vault服务器配置文件。

准备一个名为 config.hcl 的配置文件，包含以下内容。对于 tls_cert_file、tls_key_file 和 path 值，请替换适合您系统的路径名。

listener "tcp" {
  address="127.0.0.1:8200"
  tls_cert_file="/home/username/certificates/vault.crt"
  tls_key_file="/home/username/certificates/vault.key"
}

storage "file" {
  path = "/home/username/vaultstorage/storage"
}

ui = true

启动HashiCorp Vault服务器。

使用以下命令启动Vault服务器，其中 -config 选项指定了配置文件的路径：

vault server -config=config.hcl

在此步骤中，您可能会被提示输入Vault服务器私钥的密码，该私钥存储在 vault.key 文件中。

服务器应该启动，显示一些控制台信息（IP、端口等）。

因此，您可以输入剩余的命令，请将 vault server 命令置于后台或打开另一个终端，然后继续。

初始化HashiCorp Vault服务器。

发出以下命令（假设 Bourne shell 语法）：

export VAULT_SKIP_VERIFY=1
vault operator init -n 1 -t 1

第一个命令启用 vault 命令，以临时忽略系统信任存储中没有添加公司证书的事实。这补偿了我们的自签名 CA 未添加到该存储的事实。（对于生产使用，应该添加该证书。）

第二个命令创建了一个单一的解封密钥，需要一个单一的解封密钥来解封。（对于生产使用，一个实例将拥有多个解封密钥，需要多个密钥来解封它。解封密钥应该交付给公司中的关键持有人。使用单个密钥可能被认为是一个安全问题，因为这允许单个关键持有人解封 vault。）

Vault 应该回复关于解封密钥和根令牌的信息，加上一些附加文本（实际的解封密钥和根令牌值与这里显示的不同）：

...
Unseal Key 1: I2xwcFQc892O0Nt2pBiRNlnkHzTUrWS+JybL39BjcOE=
Initial Root Token: s.vTvXeo3tPEYehfcd9WH7oUKz
...

将解封密钥和根令牌存储在安全的位置。

解封 HashiCorp Vault 服务器。

使用以下命令解封 Vault 服务器：

vault operator unseal

当提示输入解封密钥时，使用之前在 Vault 初始化期间获得的密钥。

Vault 应该产生输出，表明设置完成且 vault 已解封。

登录 HashiCorp Vault 服务器并验证其状态。

准备环境变量，以便以 root 身份登录：

vault login s.vTvXeo3tPEYehfcd9WH7oUKz

对于该命令中的令牌值，请将其替换为之前在 Vault 初始化期间获得的根令牌。

验证 Vault 服务器状态：

vault status

输出应该包含以下行（以及其他行）：

...
Initialized     true
Sealed          false
...

设置 HashiCorp Vault 身份验证和存储。

启用 AppRole 身份验证方法，并验证它是否在身份验证方法列表中：

vault auth enable approle
vault auth list

启用 Vault KeyValue 存储引擎：

vault secrets enable -version=1 kv

创建并设置一个角色，以便与 keyring_hashicorp 插件一起使用（在一行中输入命令）：

vault write auth/approle/role/mysql token_num_uses=0
  token_ttl=20m token_max_ttl=30m secret_id_num_uses=0

添加一个 AppRole 安全策略。

准备一个策略，以允许之前创建的角色访问适当的秘密。创建一个名为 mysql.hcl 的新文件，内容如下：

path "kv/mysql/*" {
  capabilities = ["create", "read", "update", "delete", "list"]
}

将策略文件导入 Vault 服务器，以创建一个名为 mysql-policy 的策略，然后将策略分配给新角色：

vault policy write mysql-policy mysql.hcl
vault write auth/approle/role/mysql policies=mysql-policy

获取新创建的角色 ID 并将其存储在安全的位置：

vault read auth/approle/role/mysql/role-id

生成一个秘密 ID 用于该角色，并将其存储在安全的位置：

vault write -f auth/approle/role/mysql/secret-id

一旦生成了 AppRole 角色 ID 和秘密 ID 凭证，它们将无限期地保持有效，不需要再次生成它们。keyring_hashicorp 插件可以使用它们进行配置，以便长期使用。有关 AuthRole 身份验证的更多信息，请访问 https://www.vaultproject.io/docs/auth/approle.html。

使用SET语句将所需的新值分配给配置系统变量，如前表所示。这些赋值本身对正在进行的插件操作没有影响。

调用密钥环HashiCorp_update_config()以使插件重新配置并重新连接到HashiCorp Vault服务器，使用新的变量值。

如果连接成功，插件将更新的配置值存储在对应的系统变量中，名称中带有_commit_。