//对于像Hashicorp Vault for Linux这样的密码pipe理器， 密码似乎有点“鸡与蛋”的问题。
在对一些Linux服务器进行研究时，有人聪明地问道： “如果我们把所有的秘密都存储在秘密存储服务中，那么我们在哪里存储秘密存储服务的访问秘密？在我们的秘密存储服务中？ ‡
我吃了一惊，因为如果所有的Linux服务器都存储访问令牌，那么使用单独的秘密存储服务是没有意义的。
例如，如果我将秘密移动到Vault，那么我是否仍然需要将机密信息存储在Linux服务器上的某个地方访问Hashicorp Vault？
有人谈论以某种创造性的方式来解决这个问题，至less做得比现在更好。 我们可以根据CIDR或密码混搭来做类似auth的聪明事情。 但是安全性仍然存在这种权衡。例如，如果黑客获得了访问我的机器的权限，那么如果访问权限是基于CIDR的话，他们可以访问保险库。
这个问题可能没有答案，在这种情况下，答案是“不，这没有普遍接受的银弹解决scheme，去创造性的，find你的权衡bla bla bla”
我想要回答以下具体问题：
在现代Linux服务器上，有一个被普遍接受的方式来将密码保护到远程自动化秘密存储，如Hashicorp Vault？
显然，明文是不可能的。
有没有规范的答案呢？ 我甚至在正确的地方问这个吗？ 我也考虑过security.stackexchange.com，但是这似乎特定于为Linux服务器存储秘密的方式 。 我知道这可能看起来太笼统了，或者是基于观点，所以我欢迎任何你可能需要避免的编辑build议。
‡ 我们笑了，但我在这里得到的答案很可能是“跳槽”。 ：/例如，一个Jenkins服务器或其他东西有一个6个月的可更新密码，它用来生成一次性使用的令牌，然后他们可以使用它来获得从保险库中生成的一个短暂的（会话有限）密码，这让他们获得了一段信息 。
像这样的东西似乎是一样的，虽然它只是解决scheme的一部分： 使用Puppetpipe理服务密码