我目前正在使用Hashicorp的保险柜，但这可能是一个涉及更一般安全性的问题。
我一直在阅读Vault here的Production Hardening建议以获取一些指示。
尽管这里的建议很合理，但单独考虑，但似乎有一些矛盾的因素。我不确定如何在生产中实现这一切。
我苦苦挣扎的两点是对“禁用SSH /远程桌面”的建议和“在裸机上运行应该比VM更好”的建议。
在我看来，将实例部署到裸机上并随后禁用远程访问（我认为如果不鼓励使用ssh，那么像IPMI这样的带外管理技术也应该被禁止使用）有效地使没有物理访问就无法管理主机？对于基于云的部署，这甚至可以实现吗？
我的分析是正确的还是缺少什么？如果不能同时执行，该如何选择应该实施的方法？
谢谢！
答案 0 :(得分：0)
您不能同时做这两项，所以您的斗争是正确的。
在理想的世界中，您应该使用Vault构建映像，然后使用它们来运行群集。然后，您可以禁用ssh /远程访问，以使运行Vault的服务器处于非常明确的状态（即，运行与映像模板完全相同的事物，并且没有人登录到该映像模板中，这可能导致手动更改）。
如果不能同时实现，应该如何选择？
如果您在云中，请不要使用裸机，而要使用VM。如果您不在云中，并且可以调整虚拟机大小，则可以使用裸机（例如，我们当前的服务器大小为128GB RAM，这仅对一个Vault实例来说是浪费的，我们需要其中3个用于HA）