En este artículo, vamos a abordar un tema muy puntual pero crítico: cómo gestionar correctamente el token root en HashiCorp Vault.
Cuando inicializamos Vault, nos entrega un root token con acceso absoluto a todo el sistema. Muchos cometen el error de guardarlo en su gestor de contraseñas para el uso diario. En un entorno de producción, esto es un riesgo de seguridad enorme.
La regla de oro es simple: el token root inicial debe utilizarse únicamente para la configuración inicial (habilitar métodos de autenticación y crear políticas básicas). Una vez hecho esto, debes revocarlo para evitar que quede expuesto.
Pero entonces, ¿qué pasa si ocurre una emergencia y necesito permisos absolutos? No te preocupes, Vault permite generar un nuevo root token temporal bajo demanda utilizando tus claves de desellado (unseal keys).
Si ya terminaste tu configuración inicial y sigues usando el token root, elimínalo de forma segura con este comando:
vault token revoke -selfSi en el futuro de verdad necesitas privilegios absolutos para una emergencia, puedes iniciar la generación de uno nuevo así:
vault operator generate-root -initVault te pedirá que tú y tu equipo ingresen las claves de desellado necesarias (quórum) para entregarte el nuevo token.
¡Un saludo!