Как работает процесс «распечатывания» (unseal) Vault и как можно автоматизировать этот процесс безопасно?

После запуска Vault находится в состоянии Sealed, пока не будет выполнен Unseal. Во время Unseal расшифровывается мастер-ключ, необходимый для доступа к данным. Вручную — вводом порогового числа unseal-ключей (например, 3 из 5 по схеме Шамира), автоматически — через Auto Unseal с облачным KMS или HSM.

Ещё вопросы по теме «Безопасность»

• В чем разница между сущностями ConfigMap и Secret в Kubernetes? Являются ли Secret безопасными по умолчанию?
• В каких случаях лучше использовать HashiCorp Vault вместо стандартных секретов Kubernetes?
• Каким образом секреты из Vault попадают в манифесты приложений (например, через оператор)?
• Как Argo CD узнает об изменении секрета в Vault и инициирует обновление приложения?
• Для чего нужен инструмент Ansible Vault и как он используется в плейбуках?
• Какие шаги необходимо предпринять для защиты Linux-сервера, который «смотрит» в интернет (iptables, минимизация прав)?