banzaicloud/bank-vaults

Bank-Vaults 镜像文档

概述

Bank-Vaults是一个为Hashicorp Vault提供多种工具的集成项目，旨在简化Vault的使用和运维。它作为官方Vault客户端的包装器，提供自动令牌续期和内置Kubernetes支持，同时包含动态数据库凭证提供器、CLI工具、Kubernetes operator及mutating webhook等组件，是Banzai Cloud Pipeline平台的核心构建块。

核心功能和特性

• 官方Vault客户端包装器：支持自动令牌续期，内置Kubernetes认证集成
• 动态数据库凭证提供器：为基于Golang database/sql的客户端提供动态凭证
• CLI工具：自动化Vault的初始化、unseal和配置流程
• Kubernetes Operator：用于Vault的配置和管理
• Mutating Webhook：在Kubernetes环境中自动注入密钥到Pod
• 多环境支持：适用于多云和混合云部署场景

使用场景和适用范围

• Kubernetes环境中Vault的部署和管理
• 动态密钥的生成与管理（如数据库凭证、SSH密钥）
• 安全地将密钥注入Kubernetes Pod
• Vault的高可用集群部署和监控
• 跨多个数据中心的Vault复制
• 企业级秘密管理和安全认证

安装与使用方法

安装CLI工具

通常无需直接使用CLI，但可从https://github.com/banzaicloud/bank-vaults/releases%E4%B8%8B%E8%BD%BD%60bank-vaults%60%E5%92%8C%60vault-env%60%E4%BA%8C%E8%BF%9B%E5%88%B6%E6%96%87%E4%BB%B6%E3%80%82

Kubernetes部署

推荐通过Helm chart安装，以部署Vault实例、operator和webhook：

bash
# 添加Helm仓库
helm repo add banzaicloud-stable https://kubernetes-charts.banzaicloud.com
helm repo update

# 安装Vault和Bank-Vaults组件
helm install vault banzaicloud-stable/vault --namespace vault --create-namespace

基本使用示例

初始化并Unseal Vault

使用CLI工具自动化Vault初始化和unseal流程：

bash
bank-vaults init --mode kubernetes --k8s-namespace vault
bank-vaults unseal --mode kubernetes --k8s-namespace vault

密钥注入到Pod

通过mutating webhook在Kubernetes中注入密钥，需在Pod注解中指定Vault路径：

yaml
apiVersion: v1
kind: Pod
metadata:
  name: example-pod
  annotations:
    vault.security.banzaicloud.io/vault-role: "example-role"
    vault.security.banzaicloud.io/vault-path: "secret/data/example"
spec:
  containers:
  - name: example
    image: busybox
    command: ["sh", "-c", "echo $SECRET_VALUE && sleep 3600"]
    env:
    - name: SECRET_VALUE
      valueFrom:
        secretKeyRef:
          name: vault-secrets
          key: value

文档与资源

• 详细文档
• 博客文章
• 开发文档

支持与社区

社区支持

• 提交问题：https://github.com/banzaicloud/bank-vaults/issues
• Slack交流：Banzai Cloud Slack #Bank-Vaults

商业支持

如需生产环境商业支持，请联系Banzai Cloud。

许可

Bank-Vaults基于Apache License 2.0许可，详情参见LICENSE。