docurated/concourse-vault-resource

Vault资源

该镜像为Concourse CI的资源组件，用于从Vault读取敏感信息。默认使用aws-ec2认证方式（需提前配置），也支持AppRole认证方式。

核心功能

• 支持AWS EC2和AppRole两种Vault认证方式
• 可自定义Vault服务器地址、认证角色等配置
• 按指定路径读取Vault中的secrets并保存为JSON文件
• 可过滤需要监控变更的secrets路径

使用场景

适用于Concourse CI/CD流程中，安全获取敏感配置信息（如API密钥、数据库凭证、云服务密钥等），避免明文存储敏感数据。

配置说明

源配置（Source Configuration）

• url：可选，Vault服务器地址，默认值为https://vault.service.consul:8200。
• role：可选，认证角色，默认值为concourse。
• nonce：可选，Vault允许的EC2认证客户端随机数，默认值为vault-concourse-nonce（建议修改）。
• paths：可选，glob模式列表，仅指定路径的变更会触发新版本检查。
• expose_token：可选，暴露Vault令牌供其他资源使用。
• auth_method：可选，认证方式，默认aws-ec2，指定AppRole时需配合role_id和secret_id。
• role_id：可选，AppRole认证的角色ID，仅在auth_method: AppRole时有效。
• secret_id：可选，AppRole认证的密钥ID，仅在auth_method: AppRole时有效。
• tls_skip_verify：可选，跳过Vault SSL验证（设置VAULT_SKIP_VERIFY=1）。

示例

AWS-EC2认证配置

yaml
resources:
- name: vault
  type: vault
  source:
    url: https://secure.legitcompany.com:8200
    role: build-server
    nonce: cantguessme

AppRole认证配置

yaml
resources:
- name: vault
  type: vault
  source:
    url: https://secure.legitcompany.com:8200
    auth_method: AppRole
    role_id: e6889709-5ff8-c670-a083-79f1c5035709
    secret_id: e6889709-5ff8-c670-a083-79f1c5035709

获取secrets

yaml
- get: vault
  params:
    paths:
      - secret/build/git
      - secret/build/aws/s3

行为说明

check：检查新版本

本质上是无操作，始终返回当前日期作为新版本标识：{"date": "$DATE"}。

in：从Vault读取secrets

从Vault读取指定路径的secrets，并以JSON文件形式存储在磁盘上。文件路径与Vault中的路径一致，例如上述示例会生成vault/build/git.json和vault/build/aws/s3.json文件。

参数

• paths：必填，需从Vault读取的secret路径列表。