Удаление

Подготовка

Перед удалением Stronghold выполните следующие действия:

1. Убедитесь, что Stronghold больше не используется: приложения, CI/CD и другие системы переключены на другое хранилище секретов или больше не требуют доступа.

2. Создайте финальный снимок хранилища и сохраните его вместе с ключами распечатывания или восстановления на срок, определённый вашей политикой хранения данных (подробнее — в разделе «Создание снимка»):

   d8 stronghold operator raft snapshot save final.snap

3. Отзовите аренды динамических секретов, чтобы Stronghold удалил выданные им учётные данные во внешних системах (базах данных, LDAP, Kubernetes). Получите список механизмов секретов:

   d8 stronghold secrets list

   Для каждого механизма, выдающего динамические секреты, отзовите аренды по префиксу:

   d8 stronghold lease revoke -prefix database/

   Проверьте, что аренд не осталось:

   d8 stronghold list sys/leases/lookup/database/creds/

   Отключение механизма секретов командой d8 stronghold secrets disable <PATH> также отзывает все его аренды.

4. Если Stronghold использовался как центр сертификации PKI, заранее выпустите сертификаты CA в другой системе и замените доверенные CA у клиентов. После удаления Stronghold списки отзыва (CRL) и OCSP перестанут обновляться.

5. Сохраните журналы аудита согласно политике хранения, если они хранятся на узлах Stronghold.

Остановка и удаление

Выполните на каждом узле кластера:

1. Остановите и отключите сервис:

   systemctl stop stronghold
   systemctl disable stronghold

2. Удалите systemd-unit и перечитайте конфигурацию systemd:

   rm /etc/systemd/system/stronghold.service
   systemctl daemon-reload

3. Удалите данные, конфигурацию, сертификаты и бинарный файл. Пути по умолчанию соответствуют разделу «Установка»; если в конфигурации указаны другие директории (параметр path блока storage, log_file, файлы аудита), удалите и их:

   rm -rf /opt/stronghold

   Для носителей, на которых хранились данные Raft, используйте процедуру гарантированного уничтожения данных, принятую в вашей организации.

4. Удалите системного пользователя:

   userdel stronghold

5. Удалите правила межсетевого экрана для портов 8200 и 8201, записи DNS и настройки балансировщика, если они создавались для Stronghold.

После удаления

После удаления Stronghold выполните следующие действия:

• Уничтожьте доли ключей распечатывания или восстановления и root-токены, если финальный снимок не нужно хранить, либо храните их вместе со снимком.
• Удалите ключи Stronghold в HSM или KMS, если использовалось автоматическое распечатывание, только после истечения срока хранения снимка: без них снимок нельзя будет распечатать.
• Отзовите учётные данные, которые Stronghold использовал для подключения к внешним системам (например, учётные записи механизмов секретов в базах данных).