grafana/drone-vault

Drone-Vault

概述

Drone-Vault是一个Drone CI/CD插件，专门设计用于与HashiCorp Vault集成。它提供了在Drone流水线中安全获取Vault中存储的密钥和敏感信息的能力，确保构建和部署过程中的安全凭证管理。

核心功能和特性

• 与HashiCorp Vault无缝集成
• 支持多种Vault认证方法
• 安全获取和注入敏感信息到Drone流水线
• 支持Vault KV v1和v2秘密引擎
• 可配置的秘密路径和密钥映射
• 支持Vault命名空间（Vault Enterprise）

使用场景和适用范围

• 需要在CI/CD流程中使用敏感凭证的场景
• 使用HashiCorp Vault进行密钥管理的组织
• 希望避免在代码或配置文件中硬编码敏感信息的团队
• 需要符合安全合规要求的构建和部署流程

使用方法和配置说明

基本用法

在Drone流水线中使用drone-vault插件：

yaml
steps:
- name: fetch-secrets
  image: grafana/drone-vault
  settings:
    server: https://vault.example.com
    path: secret/data/drone
    role_id: 
      from_secret: vault_role_id
    secret_id:
      from_secret: vault_secret_id
    secrets:
      - source: db_password
        target: DATABASE_PASSWORD
      - source: api_key
        target: API_KEY

认证方法

AppRole认证（推荐）

yaml
settings:
  server: https://vault.example.com
  auth: approle
  role_id: 
    from_secret: vault_role_id
  secret_id:
    from_secret: vault_secret_id

Token认证

yaml
settings:
  server: https://vault.example.com
  auth: token
  token:
    from_secret: vault_token

Kubernetes认证

yaml
settings:
  server: https://vault.example.com
  auth: kubernetes
  role: drone-agent
  mount_path: kubernetes

配置参数

Docker部署示例

Docker Run命令

bash
docker run --rm \
  -e PLUGIN_SERVER=https://vault.example.com \
  -e PLUGIN_AUTH=approle \
  -e PLUGIN_ROLE_ID=your-role-id \
  -e PLUGIN_SECRET_ID=your-secret-id \
  -e PLUGIN_PATH=secret/data/drone \
  -e PLUGIN_SECRETS="[{source: 'db_password', target: 'DATABASE_PASSWORD'}, {source: 'api_key', target: 'API_KEY'}]" \
  grafana/drone-vault

Drone Pipeline配置示例

yaml
kind: pipeline
name: default

steps:
- name: build
  image: golang:1.16
  commands:
    - go build
    - go test

- name: deploy
  image: plugins/kubernetes
  settings:
    kubeconfig:
      from_secret: kubeconfig
  when:
    branch:
      - master

secrets:
- name: kubeconfig
  get:
    path: secret/data/drone
    name: kubeconfig

详细的Secrets配置

secrets参数是一个列表，每个条目包含：

• source: Vault中存储的密钥名称
• target: 要注入到环境中的环境变量名称
• required: 布尔值，指示该密钥是否为必需（默认为true）

示例：

yaml
secrets:
  - source: db_password
    target: DATABASE_PASSWORD
  - source: api_key
    target: API_KEY
    required: false

注意事项

• 确保Drone代理能够访问Vault服务器
• 为Drone配置适当的Vault策略，只授予必要的访问权限
• 敏感的认证信息（如role_id、secret_id、token）应使用Drone的secret存储
• 在生产环境中始终启用TLS，不要跳过TLS验证