gwelican/vault-secret

Vault Resource镜像说明

镜像概述

本镜像为Concourse CI的资源类型，用于与HashiCorp Vault集成，实现从Vault安全读取秘密数据，并将其以JSON文件形式保存到磁盘，方便CI/CD流程中安全使用数据库凭证、API密钥等敏感信息。

核心功能

• 从Vault指定路径读取秘密并存储为JSON文件，路径与Vault中的路径保持一致
• 支持AWS EC2、AppRole等认证方式
• 可配置跳过Vault SSL证书验证
• 允许暴露认证令牌供其他资源使用
• 通过glob模式过滤需要监控的秘密路径，仅当指定路径变化时触发新版本

使用场景

• CI/CD流程中自动获取敏感配置信息（如数据库密码、云服务密钥）
• 自动化部署过程中加载环境变量所需的秘密数据
• 多环境（开发、测试、生产）下的秘密统一管理与分发

配置说明

源配置（Source Configuration）

• url（可选）：Vault服务器地址，默认值为https://vault.service.consul:8200
• role（可选）：认证使用的角色，默认值为concourse
• nonce（可选）：EC2认证的客户端随机数，默认值为vault-concourse-nonce（建议修改）
• paths（可选）：glob模式列表，仅当指定路径的秘密变化时触发新版本检查
• expose_token（可选）：是否暴露认证令牌给其他资源
• auth_method（可选）：认证方式，默认使用aws-ec2，指定AppRole时需提供role_id和secret_id
• role_id（可选）：AppRole认证的角色ID，仅在auth_method: AppRole时生效
• secret_id（可选）：AppRole认证的秘密ID，仅在auth_method: AppRole时生效
• tls_skip_verify（可选）：是否跳过SSL验证，设置后会导出VAULT_SKIP_VERIFY=1

示例配置

1. 添加资源类型到Concourse配置

yaml
- name: vault
  type: docker-image
  source:
    repository: gwelican/vault-secret
    tag: latest

2. 配置Vault资源

yaml
resources:
- name: vault
  type: vault
  source:
    url: https://secure.legitcompany.com:8200
    app_id: app_id
    user_id: user_id

3. 读取秘密

yaml
- get: vault
  params:
    paths:
      - secret/build/git
      - secret/build/aws/s3

行为说明

check：检查新版本

本质上是noop操作，始终返回当前日期作为新版本标识：{"date": "$DATE"}

in：从Vault读取秘密

从Vault读取指定路径的秘密，并以JSON文件形式存储到磁盘。例如，读取secret/build/git路径的秘密会生成vault/build/git.json文件。

参数说明

• paths（必填）：需要从Vault读取的秘密路径列表