amd64/vault

弃用通知

Vault 1.14版本起，我们将停止在Dockerhub发布官方镜像，仅发布Verified Publisher镜像。Docker镜像用户应从https://hub.docker.com/r/hashicorp/vault%E6%8B%89%E5%8F%96%EF%BC%8C%E8%80%8C%E9%9D%9Ehttps://hub.docker.com/_/vault%E3%80%82Verified Publisher镜像地址：https://hub.docker.com/r/hashicorp/vault%E3%80%82

快速参考

• 维护者：
  https://github.com/hashicorp/docker-vault

• 获取帮助：
  Docker社区Slack、Server Fault、Unix & Linux 或 Stack Overflow

支持的标签及对应Dockerfile链接

无支持标签

快速参考（续）

• 问题提交地址：
  https://github.com/hashicorp/docker-vault/issues?q=

• 支持的架构：(https://github.com/docker-library/official-images#architectures-other-than-amd64)
  无支持架构

• 已发布镜像工件详情：
  https://github.com/docker-library/repo-info/blob/master/repos/vault (https://github.com/docker-library/repo-info/commits/master/repos/vault)
  （镜像元数据、传输大小等）

• 镜像更新：
  https://github.com/docker-library/official-images/issues?q=label%3Alibrary%2Fvault
  https://github.com/docker-library/official-images/blob/master/library/vault (https://github.com/docker-library/official-images/commits/master/library/vault)

• 本描述来源：
  https://github.com/docker-library/docs/tree/master/vault (https://github.com/docker-library/docs/commits/master/vault)

Vault

Vault是一款用于安全访问密钥的工具。密钥指任何需要严格控制访问的信息，如API密钥、密码、证书等。Vault提供统一的密钥访问接口，同时具备严格的访问控制和详细的审计日志。更多信息请参见：

• Vault文档
• https://github.com/hashicorp/vault

!https://raw.githubusercontent.com/docker-library/docs/90d4d43bdfccd5cb21e5fd964d32b0074af0f357/vault/logo.svg?sanitize=true

容器使用方法

我们选择Alpine作为基础镜像，因其轻量且安全面较小，同时具备足够的开发和交互式调试功能。

Vault始终在https://github.com/Yelp/dumb-init%E4%B8%8B%E8%BF%90%E8%A1%8C%EF%BC%8C%E8%AF%A5%E5%B7%A5%E5%85%B7%E5%A4%84%E7%90%86%E5%83%B5%E5%B0%B8%E8%BF%9B%E7%A8%8B%E5%9B%9E%E6%94%B6%E5%B9%B6%E5%B0%86%E4%BF%A1%E5%8F%B7%E8%BD%AC%E5%8F%91%E5%88%B0%E5%AE%B9%E5%99%A8%E5%86%85%E6%89%80%E6%9C%89%E8%BF%9B%E7%A8%8B%E3%80%82%E6%AD%A4%E4%BA%8C%E8%BF%9B%E5%88%B6%E6%96%87%E4%BB%B6%E7%94%B1HashiCorp%E6%9E%84%E5%BB%BA%E5%B9%B6%E4%BD%BF%E7%94%A8%E6%88%91%E4%BB%AC%E7%9A%84GPG%E5%AF%86%E9%92%A5%E7%AD%BE%E5%90%8D%EF%BC%8C%E5%8F%AF%E9%AA%8C%E8%AF%81%E7%94%A8%E4%BA%8E%E6%9E%84%E5%BB%BA%E7%89%B9%E5%AE%9A%E5%9F%BA%E7%A1%80%E9%95%9C%E5%83%8F%E7%9A%84%E5%B7%B2%E7%AD%BE%E5%90%8D%E5%8C%85%E3%80%82

运行Vault容器时不带参数将启动开发模式的Vault服务器。提供的入口脚本会查找Vault子命令并运行vault子命令。例如，执行docker run vault status将在容器内运行vault status命令。入口点在运行server子命令时还会添加以下特殊配置选项。其他命令将在dumb-init下通过exec在容器内执行。

容器公开两个可选VOLUME：

• /vault/logs：用于写入持久化审计日志。默认不写入任何内容；必须启用file审计后端并指定此目录下的路径。
• /vault/file：使用file数据存储插件时用于写入持久化存储数据。默认不写入任何内容（dev服务器使用内存数据存储）；必须在启动容器前在Vault配置中启用file数据存储后端。

容器在/vault/config设置了Vault配置目录，服务器将加载通过卷挂载或构建新镜像添加到此目录的所有HCL或JSON配置文件。此外，可通过环境变量VAULT_LOCAL_CONFIG传递配置JSON。

内存锁定与'setcap'

容器会尝试锁定内存以防止敏感值交换到磁盘，因此docker run必须提供--cap-add=IPC_LOCK。由于Vault二进制以非root用户运行，使用setcap赋予二进制锁定内存的能力。在某些发行版的Docker存储插件中，此调用可能无法正常工作（最常见于AUFS）。可通过将SKIP_SETCAP环境变量设置为任意非空值禁用内存锁定行为。

开发环境运行Vault

console
$ docker run --cap-add=IPC_LOCK -d --name=dev-vault vault

这将运行完全基于内存的Vault服务器，适用于开发环境，不可用于生产环境。

开发模式下，可通过环境变量设置两个额外选项：

• VAULT_DEV_ROOT_TOKEN_ID：设置初始生成的根令牌ID为指定值
• VAULT_DEV_LISTEN_ADDRESS：设置开发服务器监听器的IP:端口（默认0.0.0.0:8200）

示例：

console
$ docker run --cap-add=IPC_LOCK -e 'VAULT_DEV_ROOT_TOKEN_ID=myroot' -e 'VAULT_DEV_LISTEN_ADDRESS=0.0.0.0:1234' vault

开发环境服务器模式运行Vault

console
$ docker run --cap-add=IPC_LOCK -e 'VAULT_LOCAL_CONFIG={"storage": {"file": {"path": "/vault/file"}}, "listener": [{"tcp": { "address": "0.0.0.0:8200", "tls_disable": true}}], "default_lease_ttl": "168h", "max_lease_ttl": "720h", "ui": true}' -p 8200:8200 vault server

此命令运行禁用TLS的Vault服务器，使用file存储后端（路径/vault/file），默认密钥租约期限为1周，最大为30天。生产环境不建议禁用TLS和使用file存储后端。

注意--cap-add=IPC_LOCK：这是Vault锁定内存（防止交换到保护敏感数据）所必需的，强烈推荐使用。非开发环境中，若不希望使用此功能，必须在配置中添加"disable_服务器启动时，将从/vault/config读取配置HCL和JSON文件（VAULT_LOCAL_CONFIG中的信息会写入此目录的local.json`并作为配置文件的一部分读取）。请参阅Vault的配置文档获取完整选项。

建议将目录卷挂载到Docker镜像中，以便为Vault提供配置和TLS证书。可通过以下方式实现：

CODE_TOKEN_3

为提高可扩展性和可靠性，建议在k8s或OpenShift等编排环境中运行容器化Vault。

自0.6.3版本起，此容器还支持VAULT_REDIRECT_INTERFACE和VAULT_CLUSTER_INTERFACE环境变量。若设置，Vault配置中的重定向和集群地址将使用容器内指定接口的IP地址（如eth0）。

许可

查看此镜像包含的软件的https://raw.githubusercontent.com/hashicorp/vault/master/LICENSE。

与所有Docker镜像一样，这些镜像可能包含其他软件，可能具有其他许可（如基础发行版中的Bash等，以及主要软件的任何直接或间接依赖）。

一些能够自动检测到的额外许可信息可能在https://github.com/docker-library/repo-info/tree/master/repos/vault中。

对于任何预构建镜像的使用，镜像用户有责任确保对该镜像的任何使用符合其中包含的所有软件的相关许可。