Initial commit

mise-tasks/vault/app-check

@@ -0,0 +1,136 @@
+#!/usr/bin/env bash
+#MISE description="Проверка глазами сервиса: вход по AppRole, секреты из Vault, доступ к S3 и Postgres"
+set -euo pipefail
+
+KV=$VAULT_MOUNT
+DB=$VAULT_DATABASE_MOUNT
+
+step() { printf '\n== %s\n' "$*"; }
+ok() { printf '   ok: %s\n' "$*"; }
+fail() {
+  printf '   ОШИБКА: %s\n' "$*" >&2
+  exit 1
+}
+
+vault_api() {
+  local method=$1 path=$2 token=${3:-} body=${4:-}
+  curl -sS -X "$method" -w '\n%{http_code}' \
+    ${token:+-H "X-Vault-Token: $token"} \
+    ${body:+-d "$body"} \
+    "$VAULT_ADDR/v1/$path"
+}
+code() { tail -n1 <<<"$1"; }
+body() { sed '$d' <<<"$1"; }
+
+psql_as() {
+  docker compose exec -T -e PGPASSWORD="$2" postgres \
+    psql -h postgres -U "$1" -d "$3" -Atc "select session_user || ' работает как ' || current_user" 2>&1 | tail -1 || true
+}
+
+token=""
+revoke_token() {
+  [[ -z "$token" ]] || vault_api POST auth/token/revoke-self "$token" >/dev/null 2>&1 || true
+  token=""
+}
+trap revoke_token EXIT
+
+admin_token=$VAULT_TOKEN
+ROLES=$(terraform -chdir=vault output -json approle_role_ids)
+mapfile -t ALL < <(jq -r 'keys[]' <<<"$ROLES")
+if [[ $# -gt 0 ]]; then SERVICES=("$@"); else SERVICES=("${ALL[@]}"); fi
+
+for svc in "${SERVICES[@]}"; do
+  printf '\n################ %s\n' "$svc"
+
+  role_id=$(jq -r --arg s "$svc" '.[$s] // empty' <<<"$ROLES")
+  [[ -n "$role_id" ]] || fail "нет роли AppRole для $svc"
+  secret_id=$(vault_api POST "auth/approle/role/$svc/secret-id" "$admin_token" '{"ttl": "5m", "num_uses": 1}' |
+    sed '$d' | jq -r .data.secret_id)
+
+  step "1. Вход через AppRole"
+  r=$(vault_api POST auth/approle/login "" "$(jq -n --arg r "$role_id" --arg s "$secret_id" '{role_id: $r, secret_id: $s}')")
+  [[ $(code "$r") == 200 ]] || fail "вход не удался: $(body "$r")"
+  token=$(body "$r" | jq -r .auth.client_token)
+  ok "токен получен, политики: $(body "$r" | jq -r '.auth.policies | join(", ")'), ttl: $(body "$r" | jq -r .auth.lease_duration)s"
+
+  step "2. Ключи S3 из $KV/$svc/s3"
+  r=$(vault_api GET "$KV/data/$svc/s3" "$token")
+  if [[ $(code "$r") == 200 ]]; then
+    s3=$(body "$r" | jq .data.data)
+    ok "поля: $(jq -r 'keys | join(", ")' <<<"$s3")"
+    cfg=/tmp/app-check-$$
+    docker compose exec -T object-storage mc --config-dir "$cfg" alias set app http://localhost:9000 \
+      "$(jq -r .access_key <<<"$s3")" "$(jq -r .secret_key <<<"$s3")" >/dev/null
+    IFS=, read -ra own <<<"$(jq -r .buckets <<<"$s3")"
+    for b in "${own[@]}"; do
+      docker compose exec -T object-storage mc --config-dir "$cfg" ls "app/$b" >/dev/null 2>&1 || fail "свой бакет $b недоступен"
+      ok "бакет $b доступен"
+    done
+    docker compose exec -T object-storage rm -rf "$cfg"
+  else
+    ok "секрета нет (у сервиса нет бакетов), HTTP $(code "$r")"
+  fi
+
+  step "3. Постоянные учётные данные Postgres из $KV/$svc/postgres"
+  r=$(vault_api GET "$KV/data/$svc/postgres" "$token")
+  own_db=""
+  if [[ $(code "$r") == 200 ]]; then
+    pg=$(body "$r" | jq .data.data)
+    own_db=$(jq -r .database <<<"$pg")
+    ok "поля: $(jq -r 'keys | join(", ")' <<<"$pg")"
+    out=$(psql_as "$(jq -r .username <<<"$pg")" "$(jq -r .password <<<"$pg")" "$own_db")
+    [[ "$out" == *"работает как"* ]] || fail "не подключился к $own_db: $out"
+    ok "$own_db: $out"
+  else
+    ok "секрета нет (у сервиса нет базы), HTTP $(code "$r")"
+  fi
+
+  step "4. Временные учётные данные Postgres из $DB/creds/$svc"
+  if [[ -n "$own_db" ]]; then
+    r=$(vault_api GET "$DB/creds/$svc" "$token")
+    [[ $(code "$r") == 200 ]] || fail "Vault не выдал временную роль: $(body "$r")"
+    dyn_user=$(body "$r" | jq -r .data.username)
+    dyn_pass=$(body "$r" | jq -r .data.password)
+    ok "выдана роль $dyn_user на $(body "$r" | jq -r .lease_duration)s"
+    out=$(psql_as "$dyn_user" "$dyn_pass" "$own_db")
+    [[ "$out" == *"работает как"* ]] || fail "временная роль не подключилась к $own_db: $out"
+    ok "$own_db: $out"
+    for other in $(docker compose exec -T postgres psql -U "$POSTGRES_USER" -d postgres -Atc \
+      "select datname from pg_database where datdba <> 10 and datname <> '$own_db'"); do
+      out=$(psql_as "$dyn_user" "$dyn_pass" "$other")
+      [[ "$out" == *"CONNECT privilege"* ]] || fail "временная роль попала в чужую базу $other: $out"
+      ok "$other: отказ, нет права CONNECT"
+    done
+  else
+    ok "пропущено, у сервиса нет базы"
+  fi
+
+  step "5. Чужие секреты"
+  for path in "$KV/data/infra/postgres" "$KV/data/infra/silo"; do
+    [[ $(code "$(vault_api GET "$path" "$token")") == 403 ]] || fail "сервис прочитал $path"
+    ok "$path: 403"
+  done
+  for other in "${ALL[@]}"; do
+    [[ "$other" == "$svc" ]] && continue
+    for path in "$KV/data/$other/s3" "$KV/data/$other/postgres" "$DB/creds/$other"; do
+      [[ $(code "$(vault_api GET "$path" "$token")") == 403 ]] || fail "сервис прочитал $path"
+      ok "$path: 403"
+    done
+  done
+
+  step "6. Отзыв токена"
+  old_token=$token
+  revoke_token
+  [[ $(code "$(vault_api GET "$KV/data/$svc/s3" "$old_token")") == 403 ]] || fail "токен всё ещё работает"
+  ok "токен больше не принимается"
+  if [[ -n "${dyn_user:-}" ]]; then
+    sleep 2
+    left=$(docker compose exec -T postgres psql -U "$POSTGRES_USER" -d postgres -Atc \
+      "select count(*) from pg_roles where rolname = '$dyn_user'")
+    [[ "$left" == 0 ]] || fail "временная роль $dyn_user осталась в Postgres"
+    ok "временная роль $dyn_user удалена вместе с токеном"
+    dyn_user=""
+  fi
+done
+
+printf '\nВсе проверки пройдены.\n'