boostport/kubernetes-vault-sample-app

Kubernetes-Vault集成示例应用

该镜像展示了Kubernetes Pod如何通过Kubernetes-Vault项目自动接收Vault令牌，利用Vault的AppRole认证后端实现安全的secret管理。

核心特点

• 默认安全：Kubernetes-Vault控制器不允许使用root令牌向Vault认证；
• Prometheus指标支持：通过HTTP/HTTPS暴露指标端点，可选TLS客户端认证；
• 灵活的TLS配置：支持Vault作为CA或外部CA为所有组件提供TLS支持；
• 高可用模式：基于Raft协议，leader节点故障时follower可立即接管；
• 节点发现：通过Kubernetes服务和gossip协议在集群中传播节点变化。

前提条件

• Vault版本需为0.6.3及以上；
• Kubernetes版本需为1.6.0及以上（依赖Init容器特性）；
• 需生成具有正确策略的周期性令牌，用于通过AppRole后端生成secret_id；
• Kubernetes-Vault控制器使用的服务账户需具备适当权限；
• 应用需使用Vault客户端续期令牌和请求的secret；
• 建议配置Vault使用HTTPS，防止令牌和secret被窃听；
• 若使用RBAC，控制器需具备以下权限：
  • 获取自身端点（无头服务）；
  • 列出和监听所有命名空间的Pod。

快速开始

遵循快速开始指南在集群中部署Kubernetes-Vault。

令牌格式

令牌信息以JSON格式写入vault-token文件，示例：

json
{
   "clientToken":"91526d9b-4850-3405-02a8-aa29e74e17a5",
   "accessor":"476ea048-ded5-4d07-eeea-938c6b4e43ec",
   "leaseDuration":3600,
   "renewable":true,
   "vaultAddr":"https://vault:8200"
}

应用需解析此JSON并根据leaseDuration续期clientToken。

配置说明

项目包含控制器容器（监听集群推送secret_id）和Init容器（交换令牌），配置方式如下：

控制器配置

通过YAML文件配置，支持环境变量替换。核心配置项：

• raftDir：Raft数据存储路径（默认/var/lib/kubernetes-vault/）；
• vault：Vault通信设置（必填addr、token等）；
• kubernetes：K8s API设置（必填watchNamespace、service等）。

示例（Vault作为CA）：

yaml
vault:
  addr: http://vault:8200
  token: 91526d9b-4850-3405-02a8-aa29e74e17a5
  tls:
    vaultCABackends:
      - root-ca

Init容器配置

通过环境变量和Pod注解配置：

环境变量

Pod注解

许可证

本项目采用Apache 2许可证。 ===END===