banzaicloud/vault-secrets-webhook

Bank-Vaults 镜像文档

概述

Bank-Vaults是一个为Hashicorp Vault提供多种工具的集成项目，旨在简化Vault的使用和操作。作为Banzai Cloud Pipeline平台的核心组件，它提供了官方Vault客户端包装器、动态数据库凭证提供器、CLI管理工具、Kubernetes operator及mutating webhook等，支持密钥管理、自动令牌续期、Vault集群部署与监控等场景。

核心功能和特性

• Vault客户端增强：官方Vault客户端的包装器，支持自动令牌续期和Kubernetes原生集成
• 动态凭证管理：为Golang database/sql客户端提供动态数据库凭证
• CLI工具集：自动化Vault的初始化、unseal（解封）和配置流程
• Kubernetes Operator：用于Vault实例的 provisioning、管理和高可用部署
• Mutating Webhook：在Kubernetes环境中自动将Vault密钥注入Pod
• 多环境支持：支持多数据中心Vault复制、云原生监控及备份集成（如Velero）

使用场景和适用范围

• 安全管理Kubernetes部署中的敏感密钥和凭证
• 通过Kubernetes服务账户实现Vault动态凭证分配
• 构建高可用Vault集群并实现自动 unseal 流程
• 直接将Vault密钥注入Pod环境变量或文件
• 多数据中心环境下的Vault跨区域复制
• 监控Vault在Kubernetes上的运行状态与性能

使用方法和配置说明

安装方式

通常无需直接使用CLI，建议通过Helm图表部署，结合operator创建Vault实例并使用webhook实现密钥注入：

1. 获取CLI工具： 从https://github.com/banzaicloud/bank-vaults/releases%E4%B8%8B%E8%BD%BD%60bank-vaults%60%E5%92%8C%60vault-env%60%E4%BA%8C%E8%BF%9B%E5%88%B6%E6%96%87%E4%BB%B6%E3%80%82

Kubernetes部署示例

1. 使用Operator部署Vault集群

创建Vault自定义资源以部署高可用Vault实例：

yaml
apiVersion: vault.banzaicloud.com/v1alpha1
kind: Vault
metadata:
  name: example-vault
spec:
  size: 3  # 3节点高可用集群
  image: vault:1.9.0  # Vault镜像版本
  bankVaultsImage: banzaicloud/bank-vaults:latest  # Bank-Vaults工具镜像
  unsealConfig:
    kms:
      # 使用KMS服务自动 unseal（如AWS KMS、Azure Key Vault等）
      awsKms:
        keyId: "arn:aws:kms:us-west-2:123456789012:key/abcd1234"
  # 其他配置（存储、网络、资源限制等）

2. 使用Mutating Webhook注入密钥

在Pod中添加注解以启用Vault密钥注入：

yaml
apiVersion: v1
kind: Pod
metadata:
  name: example-app
  annotations:
    vault.banzaicloud.com/vault-addr: "https://vault:8200"  # Vault服务地址
    vault.banzaicloud.com/vault-role: "app-role"  # Vault角色名称
    vault.banzaicloud.com/secrets: "database/creds/my-app#DB_USER;database/creds/my-app#DB_PASSWORD"  # 密钥路径及环境变量映射
spec:
  containers:
  - name: app
    image: my-app:latest

文档与支持

• 详细文档：Bank-Vaults官方文档
• 使用案例：Bank-Vaults博客文章
• 社区支持：通过https://github.com/banzaicloud/bank-vaults/issues%E6%88%96Banzai Cloud Slack频道#Bank-Vaults获取帮助
• 商业支持：联系Banzai Cloud获取生产环境商业支持

许可证

Bank-Vaults基于Apache License 2.0许可，详见许可证文件。