今天，我们开始在办公室中使用hashicorp保险库进行游玩，并通过一些不错的教程来管理已存储的机密。但是有一点我仍然不明白为什么我必须先解开存储空间？根据我目前的理解，hashicorp保险库给了我两个盒子，我必须用三个密钥中的两个解开第一个密钥，然后才能使用单独的密钥访问第二个密钥，并在另一个密钥中附加一个策略保护。
也许我没有看到一种方法或场景，但是目前我认为我将在启动服务器时打开外包装盒，如果服务器关闭，它将被密封，以使机密成为“仅”受应用程序令牌和策略保护。
如果在座的人能给我一点解释，以密封/启封的概念为我提供额外的安全性，我将非常感激。 最好的祝福 丹
答案 0 :(得分：2)
Hashicorp文档报价
保险柜存储的数据已加密存储。保管箱需要加密密钥才能解密数据。加密密钥也与数据一起存储，但是用另一个称为主密钥的加密密钥加密。主密钥没有存储在任何地方。
因此，要解密数据，保管箱必须解密需要主密钥的加密密钥。启封是重建此主密钥的过程。
Vault不会将此主密钥作为单个密钥分发给操作员，而是使用称为Shamir的秘密共享的算法将密钥拆分为多个分片。重建主密钥需要一定的分片阈值。
这是解封过程：一次（以任何顺序）添加一个碎片，直到存在足够的碎片以重建密钥并解密数据为止。