## HashiCorp Vault
Grande nouveauté concernant Vault est [HCP Vault Secrets](https://www.hashicorp.com/blog/announcing-hcp-vault-secrets-public-beta) qui est actuellement en **public beta**.
Dans les grandes lignes, cette nouvelle feature permet de:
- **Stocker des secrets de façon simple et centralisée**: L'objectif est de voir la solution comme un "trousseau de clés en SaaS".
- **Synchroniser les secrets entre HCP Vault Secrets et cloud provider/machine**: Pour le moment la solution supporte uniquement [AWS Secret Manager](https://developer.hashicorp.com/hcp/docs/vault-secrets/integrations/aws-secrets-manager) mais d'autres viendront vite.
- **Accessible via une API ou CLI**: Dans une optique de fournir une expérience "Developer Flexibility", une API est accessible permettant de récupérer un secret via un Curl, Terraform (via le provider Vault), une [CLI dédiée à Vault Secrets (sour le nom de **vlt**)](https://developer.hashicorp.com/hcp/docs/vault-secrets/commands) ou encore un SDK. Côté SDK, la communauté n'a pas traîné puisqu'un [SDK en GO](https://github.com/ssbostan/vault-secrets-sdk-go) a déjà vu le jour.
Cerise sur le gâteau, **HCP Vault Secrets** est [gratuit durant la **public beta**](https://www.hashicorp.com/cloud). Une occasion de tester le produit par vous-même.
Autre nouveauté pour les utilisateurs de Kubernetes qui est sortie depuis quelques mois mais remise en avant durant les HashiDays en tant que GA (Global Availability) est le [**Vault Secrets Operator**](https://www.hashicorp.com/blog/vault-secrets-operator-for-kubernetes-now-ga). Cette intégration permet notamment la synchronisation avec toutes les classes de secrets Vault.
Pour ceux qui souhaitent connaitre la différence et comparer avec les autres méthodes
vous pouvez vous référer à l'article de [blog HashiCorp sur les intégrations Kubernetes avec Vault](https://www.hashicorp.com/blog/kubernetes-vault-integration-via-sidecar-agent-injector-vs-csi-provider).
Pour plus d’informations :
- [L'annonce de HCP Vault Secrets](https://www.hashicorp.com/blog/announcing-hcp-vault-secrets-public-beta)
- [Synchronisation entre HCP Vault Secrets et AWS Secrets Manager](https://developer.hashicorp.com/hcp/docs/vault-secrets/integrations/aws-secrets-manager)
- [Vault Secrets Operator](https://www.hashicorp.com/blog/vault-secrets-operator-for-kubernetes-now-ga)
## HashiCorp Boundary
**HashiCorp Boundary 0.13** est sorti ! Parmi les nouveautés, certaines sont accessibles via la version Open Source, d'autres via HCP.
Côté Open Source, nous avons:
- **LDAP authentication method (beta)**
- **OIDC authentication improvements**: La CLI peut afficher l'URL d'authentification afin que celle-ci puisse se poursuivre via un autre device (notamment pour les device n'ayant pas de navigateur web).
- **Shared KMS workers**: L'usage d'un ou plusieurs KMS pour enregistrer les downstreams sur plusieurs réseaux.
- **Static ports for targets**
- **Dynamic host catalog external name**
Côté Enterprise:
- **Boundary Enterprise version**: La possibilité de déployer une version Enterprise de HashiCorp Boundary en Self-Hosted. Cela embarque la plupart des features de HCP Boundary mais pas toutes (par exemple: l'automatisation des mises à jour, le streaming des logs d'audit, etc). Je vous invite à voir [la différence entre HCP Boundary et la version enterprise sur la page pricing](https://www.hashicorp.com/products/boundary/pricing).
- **SSH session recording**: Enregistre l'ensemble des commandes de la session (sous forme de GIF). La feature supporte, pour le moment, uniquement le SSH et stocke le recording sur un AWS Bucket S3. Petite précision sur la feature, c'est le worker Boundary qui envoie le fichier (avec le fichier d'intégrité) au bucket S3 UNIQUEMENT quand la session se termine. Un axe d'amélioration que j'ai noté durant mes tests est que l'accès à l'AWS S3 bucket se fait via [Access Key & Secret key static](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_access-keys.html), on espère donc une intégration prochaine via [AWS Role ou autre accès plus dynamique](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html). Côté pricing, la solution évolue avec cette nouvelle feature avec une offre **HCP Plus** à 0,90 $ par session (là où l'offre **HCP Standard** est à 0,50 $).
- **HCP Boundary maintenance window**: Vous pouvez choisir maintenant une maintenance window pour update votre Boundary (pour un patch ou l'upgrade d'une version majeure)
Pour plus d'informations:
- [Boundary v0.13 blog post release](https://www.hashicorp.com/blog/boundary-0-13-introduces-ssh-session-recording-boundary-enterprise-and-more)
- [Le Changelog de la version 0.13](https://developer.hashicorp.com/boundary/docs/release-notes/v0_13_0)
- [HashiCorp Boundary pricing & feature difference](https://www.hashicorp.com/products/boundary/pricing)
## HashiCorp Consul
Du côté Consul, les nouveautés se divisent en 2 parties avec d'un côté **HCP Consul Management Plane** et **Consul v1.16 en BETA**.
Du côté **HCP Consul Management Plane**, nous avons une déclinaison sous forme de deux features:
- **Cloud-based observability (beta)**: Axé sur 3 éléments clés: Telemetry extraction, Metrics storage & Visualizations. Permettant d'offrir une vue globale multi environment, des services et un état de santé global.
- **Cluster peering (GA)**: Simplifiant la cross-cluster connectivity via l'interface HCP (pour des clusters existants aussi bien de type HCP ou self-managed).
De l'autre avec **Consul v1.16** encore en BETA, nous avons:
- **Sameness groups (Consul Enterprise)**: Permet d'effectuer un failover entre un service réparti sur plusieurs clusters/partitions.
- **Enhanced control plane protection (Consul Enterprise)**: Ajout d'un rate limit basé sur l'adresse IP.
- **FIPS 140-2 compliant (Consul Enterprise)**: Build offrant un niveau [FIPS 140-2 Level 1](https://en.wikipedia.org/wiki/FIPS_140-2)
- **JWT auth for service-to-service traffic**: Les Consul service intentions peuvent maintenant autoriser les claims des JWT (Json Web Token)
- **Transparent proxy for failover and virtual services**: Ajout d'un mode [transparent proxy](https://developer.hashicorp.com/consul/docs/connect/transparent-proxy)
- **Permissive mTLS**: Quand on active le mTLS (Mutual TLS), Consul attend que TOUTES les communications soient sécurisées via mTLS. Avec le **Permissive mTLS**, cela permet de faire la transition vers du mTLS sans que toutes les communications utilisent le mTLS.
- **Simplified API Gateway installation for Consul on Kubernetes**
- **External AuthZ Envoy extension**: Permet de mettre en place un [Envoy externe](https://developer.hashicorp.com/consul/docs/connect/proxies/envoy-extensions) pour filtrer les autorisations sur des TCP et HTTP listeners.
- **Property override Envoy extension**
- **Wasm Envoy extension**: Permet de mettre en place l'extension [WebAssembly (Wasm)](https://istio.io/latest/blog/2020/wasm-announce/) pour les TCP et HTTP listeners via Envoy.
- **Catalog sync support for health checks and ingress**
Pour plus d'informations:
- [HCP Consul Management Plane](https://www.hashicorp.com/blog/announcing-hcp-consul-management-plane-with-cloud-based-observability)
- [Consul v1.16 (Beta)](https://www.hashicorp.com/blog/consul-1-16-enhances-service-mesh-reliability-user-experience-and-security)
## HashiCorp Terraform
Pour clôturer le bal des nouveautés, nous finissons par HashiCorp Terraform.
Dans la même logique que Consul, nous avons des nouveautés scindées en 2 parties: d'un côté **Terraform Cloud** et de l'autre **Terraform v1.5**.
Commençons par les nouveautés du tant attendu **Terraform v1.5**:
- **Config-driven import**: LA feature tant attendue [**l'import des resources avec génération de code automatique par Terraform**](https://developer.hashicorp.com/terraform/language/import) fait son apparition. L'action se fait en 2 étapes:
1. Création de la resource cible et d'un block `import {}`:
```hcl
import {
id = "i-abcd1234"
to = aws_instance.example
}
resource "aws_instance" "example" {
name = "test"
}
```
Avec ici `id` pour la resource `id` existante et `to` qui est la resource Terraform à générer.
2. Puis vous pouvez faire votre `plan` et/ou `apply` ensuite afin de voir et/ou générer la resource en Terraform avec ses attributs. Contrairement à la commande `terraform import`, l'usage du block est `idempotent` permettant facilement de retirer la configuration si celle-ci ne vous plait plus.
Avertissement
Attention aux imports: Les imports importent tous les attributs et certains sont conflictuels.
> Qu'en est-il des talks ?
Les talks se sont déroulés en 4 phases:
1. Keynote (matinée)
2. Session Deep Dive sur les nouveautés (matinée/midi)
3. Talk sous forme de retour d'expérience (début d'après-midi)
4. Learning session sous forme de démonstration/lab à reproduire (fin d'après-midi)
Dans l'ensemble, le programme est bon avec des pauses récurrentes. Cependant, il manque un deuxième "track" afin de choisir le sujet en fonction de nos préférences ainsi qu'un temps plus dédié avec des petits groupes pour les **Learning sessions** pour ceux qui auraient bien voulu suivre (car la cadence était très voire trop élevée avec l'impossibilité d'être aidé).
> Le mot de la fin ?
Pour ceux qui sont dans la découverte, se posant les questions sur les offres Pro ou Enterprise des produits HashiCorp et souhaitant discuter avec des experts sur le sujet, les HashiDays sont l'endroit idéal.
Pour ceux ayant déjà un niveau assez avancé dans les produits HashiCorp et se limitant aux produits open source, vous allez être globalement peu satisfaits, à l'exception du temps consacré au networking et de quelques talks.
Pour finir, quelques bonus:
- [HashiCorp Twitch](https://www.twitch.tv/hashicorplive)
- [Communauté HashiCorp](https://www.hashicorp.com/community)
- [HashiCorp Learn](https://learn.hashicorp.com/)
---
Publié à l’origine sur https://mehdilaruelle.com/fr/posts/2023/06/retour-sur-les-hashidays-paris-2023/