secret/
├── myapp/
│   ├── config          # アプリケーション設定
│   ├── database        # データベース認証情報
│   └── api-keys        # 外部API認証情報
└── shared/
    └── common-config   # 共有設定

# トークンの例
hvs.CAESIABcDeFgHiJkLmNoPqRsTuVwXyZ

# 初期化時に生成される
vault operator init

# 通常のトークン作成
vault token create -policy=myapp-read

# バッチトークン作成
vault token create -type=batch -policy=myapp-read

# 読み取り専用ポリシー
path "secret/data/myapp/*" {
  capabilities = ["read", "list"]
}

# 読み書き可能ポリシー
path "secret/data/myapp/config" {
  capabilities = ["create", "read", "update", "delete"]
}

vault login <token>

vault login -method=userpass username=myuser

vault write auth/approle/login \
  role_id=<role-id> \
  secret_id=<secret-id>

# AWS IAM認証
vault login -method=aws

# Kubernetes認証
vault write auth/kubernetes/login \
  role=myapp \
  jwt=<service-account-jwt>

# シークレットの保存
vault kv put secret/myapp/config \
  username=admin \
  password=secret123

# 動的な認証情報の生成
vault read database/creds/my-role

# データの暗号化
vault write transit/encrypt/my-key \
  plaintext=$(echo "secret data" | base64)

# 証明書の発行
vault write pki/issue/my-role \
  common_name=example.com

<mount-point>/<endpoint>/<resource>

secret/data/myapp/config
│      │    │     │
│      │    │     └─ リソース名
│      │    └─────── エンドポイント
│      └──────────── マウントポイント
└─────────────────── シークレットエンジンタイプ

vault read database/creds/my-role

Key                Value
---                -----
lease_id           database/creds/my-role/abc123
lease_duration     1h
lease_renewable    true

# リースの更新
vault lease renew database/creds/my-role/abc123

# 特定のリースを失効
vault lease revoke database/creds/my-role/abc123

# プレフィックスに一致するすべてのリースを失効
vault lease revoke -prefix database/creds/my-role/

vault status

Key                Value
---                -----
Seal Type          shamir
Initialized        true
Sealed             true    # シール状態

vault status

Key                Value
---                -----
Seal Type          shamir
Initialized        true
Sealed             false   # アンシール状態

# Shamir's Secret Sharingを使用（デフォルト）
vault operator unseal <key1>
vault operator unseal <key2>
vault operator unseal <key3>

# KVシークレットエンジンをマウント
vault secrets enable -path=myapp kv-v2

# マウントポイントの確認
vault secrets list

# Username/Password認証をマウント
vault auth enable -path=userpass userpass

# マウントポイントの確認
vault auth list

# ファイルベースの監査ログ
vault audit enable file file_path=/var/log/vault/audit.log

# Syslogへの出力
vault audit enable syslog

{
  "time": "2024-01-15T10:30:45.123456Z",
  "type": "response",
  "auth": {
    "client_token": "hmac-sha256:...",
    "display_name": "token-user"
  },
  "request": {
    "operation": "read",
    "path": "secret/data/myapp/config"
  }
}