fionera/vault-auto-unseal

vault-auto-unsealer

该镜像从Ruby版本移植而来，感谢原项目：https://github.com/InQuicker/vault-auto-unsealer

镜像概述

vault-auto-unsealer是一款辅助在Kubernetes集群中运行Vault的应用。它通过控制循环机制，在必要时自动解封Vault，无需人工干预即可处理Kubernetes重启Vault pod的场景。尽管这会放弃Vault原生解封流程的部分安全性，但在解封密钥通过其他方式保护且需保障Vault重启后自动运行的环境中，这是可接受的折中方案。

核心功能

1. 自动检测Vault状态，必要时执行解封操作
2. 首次部署时可初始化Vault并生成单个解封密钥
3. 输出解封密钥和初始root token供后续配置使用

使用场景

适用于Kubernetes集群中的Vault部署场景，尤其是需要实现Vault运维自动化、减少人工干预的生产或测试环境。

配置说明

必要环境变量

• VAULT_ADDR：Vault服务器地址，示例：[***]
• UNSEAL_KEY：解密后的原始解封密钥

使用步骤

1. 首次部署：不设置UNSEAL_KEY环境变量，镜像会初始化Vault并生成单个解封密钥，同时输出该密钥和初始root token后停止运行。
2. 二次部署：将首次输出的解封密钥设置为UNSEAL_KEY环境变量，重新部署镜像即可实现自动解封功能。

部署示例

Docker Run命令

首次部署（初始化Vault）

bash
docker run --rm \
  -e VAULT_ADDR=http://your-vault-addr:8200 \
  fionera/vault-auto-unseal

执行后会输出解封密钥和root token，请记录保存。

二次部署（自动解封）

bash
docker run -d \
  -e VAULT_ADDR=http://your-vault-addr:8200 \
  -e UNSEAL_KEY=your-recorded-unseal-key \
  fionera/vault-auto-unseal

Docker Compose示例

yaml
version: '3'
services:
  vault-auto-unsealer:
    image: fionera/vault-auto-unseal
    environment:
      - VAULT_ADDR=http://vault:8200
      - UNSEAL_KEY=your-recorded-unseal-key
    depends_on:
      - vault
  vault:
    image: hashicorp/vault
    ports:
      - "8200:8200"
    environment:
      - VAULT_DEV_ROOT_TOKEN_ID=root
      # 根据实际需求配置Vault其他参数

许可协议

vault-auto-unsealer基于MIT许可证发布，详情请查看LICENSE文件。