boostport/kubernetes-vault-init

Kubernetes Vault 集成初始化容器

镜像概述

该镜像属于Kubernetes-Vault项目的核心组件，作为初始化容器（init container）接收来自Kubernetes-Vault控制器的secret_id，并通过Vault的AppRole认证后端交换为Vault认证令牌，供Pod内应用安全访问Vault资源。

核心功能

• 默认安全：控制器禁止使用根令牌访问Vault，确保认证链路安全。
• Prometheus指标：支持HTTP/HTTPS暴露指标端点，可选TLS客户端认证。
• TLS加密：可使用Vault作为CA或外部CA为组件提供端到端TLS加密。
• 高可用模式：基于Raft协议实现高可用，leader故障时follower可立即接管。
• Peer发现：通过Kubernetes服务和端点及gossip协议实现集群节点自动发现。

使用场景

• Kubernetes集群中需要安全访问Vault的微服务（如获取敏感配置、密钥）。
• 需要自动获取和续期Vault令牌的生产环境场景。
• 对高可用和数据安全有严格要求的K8s集群部署。

配置说明

环境变量配置

Pod注解配置

K8s部署示例

以下是包含该初始化容器的Pod配置片段：

yaml
apiVersion: v1
kind: Pod
metadata:
  name: vault-app-pod
  annotations:
    pod.boostport.com/vault-approle: "sample-app"
    pod.boostport.com/vault-init-container: "vault-init"
spec:
  initContainers:
  - name: vault-init
    image: boostport/kubernetes-vault-init
    env:
    - name: VAULT_ROLE_ID
      value: "313b0821-4ff6-1df8-54dd-c3eea5d3b8b1"
    - name: CREDENTIALS_PATH
      value: "/var/run/secrets/vault"
    volumeMounts:
    - name: vault-secrets
      mountPath: /var/run/secrets/vault
  containers:
  - name: app-container
    image: your-app-image
    volumeMounts:
    - name: vault-secrets
      mountPath: /var/run/secrets/vault
  volumes:
  - name: vault-secrets
    emptyDir: {}