Providers de secretos

El broker resuelve la cadena acme.credentials de cada perfil a través de un provider de secretos enchufable. Se selecciona con secrets.provider en broker.yml.

Provider	Cuándo usarlo
`env`	Broker único; credenciales en variables de entorno.
`file`	Credenciales en el filesystem del broker (p. ej. archivo renderizado por Ansible).
`vault`	HashiCorp Vault KV.
`openbao`	OpenBao KV (mismo protocolo que Vault).

`env` (por defecto)

secrets:
  provider: env

La cadena acme.credentials se trata como nombre de variable de entorno:

CLOUDFLARE_DNS_API_TOKEN=... certplane-broker -c /etc/certplane/broker.yml serve

En systemd:

/etc/systemd/system/certplane-broker.service.d/env.conf

[Service]
Environment=CLOUDFLARE_DNS_API_TOKEN=cf-token-aqui

`file`

secrets:
  provider: file

La cadena acme.credentials se interpreta como ruta de archivo. El broker lee el contenido, lo recorta y lo usa como secreto. El archivo debe ser legible por el usuario certplane.

install -m 0600 -o certplane -g certplane cf.token /etc/certplane/secrets/cloudflare

policy.yml

profiles:
  public_edge_main:
    type: wildcard
    dns_names: ["*.example.com"]
    acme:
      challenge: dns-01
      credentials: /etc/certplane/secrets/cloudflare

`vault` / `openbao`

secrets:
  provider: vault         # o openbao
  vault:
    address: https://vault.int.example.com:8200
    token_file: /etc/certplane/vault-token
    mount_path: secret
    kv_version: 2
    key: value
    timeout: 10s
    namespace: ""

Campo	Por defecto	Notas
`address`	—	Obligatorio con `vault` u `openbao`.
`token`	—	Token inline. Evítalo.
`token_file`	—	Archivo con el token. Preferido.
`mount_path`	`secret`	Mount del KV.
`kv_version`	`2`	`1` o `2`.
`key`	`value`	Clave dentro del JSON del secreto.
`timeout`	`10s`
`namespace`	—	Solo Vault Enterprise.

acme.credentials nombra la ruta en Vault relativa a mount_path. Con mount_path: secret y kv_version: 2:

policy.yml

profiles:
  public_edge_main:
    type: wildcard
    dns_names: ["*.example.com"]
    acme:
      challenge: dns-01
      credentials: certplane/cloudflare/example-com

…lee secret/data/certplane/cloudflare/example-com y devuelve el valor en data.value (o lo que diga vault.key). Tutorial completo: Secretos en Vault y OpenBao.

Cómo elegir

¿Solo arrancando? env. Dos segundos.
¿Producción single-broker? file está bien si ya renderizas con tu config-management.
¿Multi-broker o rotación centralizada? vault u openbao.

Comenzar

Configuración inicial

Política

Configuración

Guías

Providers de secretos

`env` (por defecto)

`file`

`vault` / `openbao`

Cómo elegir

​env (por defecto)

​file

​vault / openbao

​Cómo elegir

`env` (por defecto)

`file`

`vault` / `openbao`

Cómo elegir