วิธีกำหนดค่าและใช้ HashiCorp Boundary เพื่อจัดการการเข้าถึง Secrets แบบ Zero‑Trust บน Linux อย่างปลอดภัย

Overview

HashiCorp Boundary เป็นเครื่องมือที่ช่วยจัดการ Zero‑Trust Access ให้กับ Secrets บน Linux โดยไม่ต้องเปิดพอร์ตหรือ VPN การตั้งค่าอาจดูซับซ้อนแต่ถ้าแบ่งเป็นขั้นตอนเล็ก ๆ จะทำให้เข้าใจและใช้งานได้เร็ว

• สร้าง Boundary controller และ worker แยกจากแอปพลิเคชัน
• เชื่อมต่อกับระบบจัดการ Secrets (เช่น HashiCorp Vault) ผ่าน secret store
• กำหนด Policy เพื่อควบคุมว่าใครสามารถเข้าถึง Secret ใดได้

Prerequisites

ก่อนเริ่มคุณต้องมีสิ่งต่อไปนี้พร้อมใช้งานบนเครื่อง Linux ของคุณ

• ระบบปฏิบัติการ Ubuntu 20.04 หรือใหม่กว่า (หรือ CentOS 8)
• Docker หรือ binary ของ Boundary เวอร์ชันล่าสุด
• ผู้ใช้ที่มี sudo สิทธิ์ในการติดตั้งแพ็กเกจ
• HashiCorp Vault ที่ตั้งค่าแล้วพร้อม token หรือ OIDC

Install Boundary

การติดตั้ง Boundary ทำได้สองวิธีหลักคือผ่าน binary หรือ Docker ทั้งสองวิธีให้ผลลัพธ์เท่ากัน

• ดาวน์โหลด binary จาก https://releases.hashicorp.com/boundary/
• แตกไฟล์และย้ายไปที่ `/usr/local/bin`
• หรือใช้ Docker Compose พร้อมไฟล์ `docker-compose.yml` ที่กำหนด service สำหรับ controller และ worker

**Tip: ควรตั้งค่า `boundary server -config=server.hcl` ให้อ่านค่าจากไฟล์ config แทนการใส่พารามิเตอร์ใน command line เพื่อความปลอดภัย

Configure Authentication

Boundary รองรับหลายวิธีการยืนยันตัวตน เราแนะนำใช้ OIDC ร่วมกับ IdP ที่องค์กรมีอยู่ (เช่น Azure AD หรือ Google)

• **ขั้นตอนที่ 1: เพิ่ม `oidc` block ในไฟล์ `controller.hcl`

```hcl listener "tcp" { address = "0.0.0.0:9200" purpose = "api" } oidc { client_id = "<client-id>" client_secret = "<client-secret>" issuer = "https://login.microsoftonline.com/<tenant>/v2.0" scopes = ["openid", "profile", "email"] } ```

• **ขั้นตอนที่ 2: รีสตาร์ท controller เพื่อให้การตั้งค่าเป็นผล

Define Host Catalog & Targets

Host catalog คือรายการเครื่อง Linux ที่ Boundary จะทำหน้าที่เป็น “proxy” ให้ผู้ใช้เข้าถึง

• สร้าง catalog ด้วย CLI: `boundary hosts create -type static -name "Linux Servers"`
• เพิ่ม host เข้า catalog: `boundary hosts add-static -catalog-id <id> -address 10.0.1.12 -port 22`
• กำหนด target เพื่อบ่งชี้ว่าผู้ใช้จะเชื่อมต่อผ่าน SSH หรือ RDP เท่านั้น

Set Up Secret Store (Vault Integration)

เพื่อให้ Boundary สามารถดึง Secrets จาก Vault เราต้องกำหนด secret store และ credential library

• สร้าง secret store: `boundary secrets create -type vault -name "VaultStore" -address https://vault.example.com`
• กำหนด credential library ที่ใช้ token หรือ AppRole ของ Vault:

```hcl credential_library "vault_approle" { type = "app-role" mount_path = "approle/" role_id = "<role-id>" secret_id = "<secret-id>" } ```

Create Access Policies

Policy คือตัวควบคุมว่าใครสามารถใช้ session เพื่อเข้าถึง target ใดและดึง Secrets อะไรได้

• สร้าง grant scope ให้กับผู้ใช้หรือกลุ่ม: `boundary grants create -principal-id <user-id> -target-id <target-id>`
• เพิ่มเงื่อนไขว่า grant ต้องมี session duration สูงสุด 30 นาที และต้องใช้ credential library ที่กำหนดไว้

Test Access

หลังตั้งค่าทั้งหมดแล้วทำการทดสอบเพื่อยืนยันว่าการเข้าถึงเป็นไปตาม Zero‑Trust

• ใช้ CLI: `boundary connect ssh -target-id <target-id> -session-duration 10m`
• ตรวจสอบว่าเซสชันได้รับ one‑time token จาก Vault แล้วเชื่อมต่อ SSH ได้สำเร็จโดยไม่ต้องใส่ password ตลอดเวลา

**ข้อควรระวัง: อย่าให้ผู้ใช้มีสิทธิ์ `admin` บน Boundary หากไม่ได้จำเป็น เพราะจะทำลายหลักการ Zero‑Trust

Tips & Common Pitfalls

• ตรวจสอบว่า clock synchronization ระหว่าง controller, worker และ Vault ตรงกัน มิฉะนั้น token จะหมดอายุทันที
• ใช้ TLS certificates ที่ออกโดย CA ภายในองค์กรสำหรับทุกการสื่อสาร (controllerworker, BoundaryVault)
• อย่าลืมตั้งค่า session limits เพื่อป้องกันเซสชันที่เปิดค้างนานเกินไป

Summary

บทความนี้อธิบายขั้นตอนสำคัญในการกำหนดค่า HashiCorp Boundary เพื่อจัดการการเข้าถึง Secrets แบบ Zero‑Trust บน Linux

• ติดตั้ง Boundary (binary หรือ Docker) แล้วตั้งค่า OIDC เป็นวิธี Auth แนะนำ
• สร้าง Host Catalog, Targets และเชื่อมต่อกับ Vault ผ่าน Secret Store + Credential Library
• กำหนด Policy ให้ผู้ใช้เข้าถึงเฉพาะที่จำเป็นและตรวจสอบด้วยการทดสอบเซสชันจริง

**สิ่งที่ควรจำ: การรักษาความปลอดภัย Zero‑Trust ขึ้นอยู่กับการแยกหน้าที่ (controller vs worker) การใช้ TLS ครบทุกจุดเชื่อมต่อ และการกำหนด Policy อย่างละเอียดที่สุด.