brndnmtthws/vault-dcos

DC/OS上的Vault

这是在DC/OS上运行https://github.com/hashicorp/vault%E7%9A%84%E7%A4%BA%E4%BE%8B%E3%80%82%E9%BB%98%E8%AE%A4%E9%85%8D%E7%BD%AE%E4%B8%BA%E9%AB%98%E5%8F%AF%E7%94%A8%EF%BC%88HA%EF%BC%89%E6%A8%A1%E5%BC%8F%EF%BC%8C%E4%BD%BF%E7%94%A8ZooKeeper%E4%BD%9C%E4%B8%BA%E5%90%8E%E7%AB%AF%E5%AD%98%E5%82%A8%E3%80%82

镜像概述

本镜像提供了在DC/OS集群中部署Vault的参考方案，支持高可用部署和灵活的配置自定义，适用于需要安全存储和管理敏感数据的场景。

核心功能

• 高可用部署：默认使用ZooKeeper作为后端，支持多实例部署以实现高可用性。
• 配置自定义：通过环境变量可设置TLS密钥证书、HCL/JSON配置文件内容。
• 完整初始化流程：提供初始化、 unseal 和认证的步骤示例。
• 健康检查支持：包含TCP端口健康检查配置，确保服务可用性。

使用场景

• 企业在DC/OS集群中部署密钥管理系统，存储API密钥、数据库凭证等敏感信息。
• 需要高可用的安全存储服务，保障关键数据的可靠性和安全性。
• 快速搭建Vault环境进行测试或生产使用。

配置说明

可通过以下环境变量自定义Vault配置：

• VAULT_TLS_KEY：TLS密钥文件内容
• VAULT_TLS_CERT：TLS证书文件内容
• VAULT_CONFIG_HCL：HCL格式的配置文件内容
• VAULT_CONFIG_JSON：JSON格式的配置文件内容

DC/OS部署步骤

步骤1：启动Vault服务

将以下JSON保存为vault.json：

json
{
  "id": "vault",
  "cpus": 1,
  "mem": 1000,
  "ports":[8200],
  "requirePorts":true,
  "instances": 1,
  "container": {
    "type": "DOCKER",
    "docker": {
      "image": "brndnmtthws/vault-dcos",
      "network": "HOST",
      "forcePullImage": true
    }
  },
  "healthChecks": [{
      "protocol": "TCP",
      "portIndex": 0,
      "timeoutSeconds": 10,
      "gracePeriodSeconds": 10,
      "intervalSeconds": 2,
      "maxConsecutiveFailures": 10
  }]
}

通过Marathon启动：

bash
dcos marathon app add vault.json

步骤2：初始化Vault

SSH到DC/OS集群节点，执行以下命令初始化Vault：

bash
docker run -e "VAULT_SKIP_VERIFY=true" -e "VAULT_ADDR=https://vault.marathon.mesos:8200" --entrypoint=vault -t brndnmtthws/vault-dcos init

初始化后会生成5个 unseal 密钥和根令牌，请妥善保存。

步骤3：Unseal Vault

重复执行以下命令3次（每次输入不同的 unseal 密钥）：

bash
docker run -i -e "VAULT_SKIP_VERIFY=true" -e "VAULT_ADDR=https://vault.marathon.mesos:8200" --entrypoint=vault -t brndnmtthws/vault-dcos unseal

当输出显示Sealed: false时，Vault已 unseal。

步骤4：使用Vault

运行交互式shell测试Vault：

bash
docker run -i -e "VAULT_SKIP_VERIFY=true" -e "VAULT_ADDR=https://vault.marathon.mesos:8200" --entrypoint=/bin/sh -t brndnmtthws/vault-dcos
vault auth [根令牌] # 替换为初始化时得到的根令牌
vault write secret/hello value=world
vault read secret/hello

后续步骤

部署成功后，可考虑运行多个实例以增强高可用性，并通过https://github.com/mesosphere/marathon-lb%E5%AE%9E%E7%8E%B0%E6%9C%8D%E5%8A%A1%E5%8F%91%E7%8E%B0%E3%80%82 ===END===