Vault + Kubernetes (vault-k8s) 技术文档

1. 镜像概述与主要用途

vault-k8s 是 HashiCorp 提供的 Vault 与 Kubernetes 之间的一流集成工具，旨在简化两者的集成流程。该工具独立于 Vault 主版本进行版本控制，可快速迭代 Kubernetes 集成功能，无需强制用户升级 Vault 核心版本。

主要用途：提供 Vault 与 Kubernetes 集群的原生集成能力，当前主要包含 Vault Agent Sidecar Injector 功能，未来将扩展更多集成特性。

2. 核心功能与特性

2.1 Vault Agent Sidecar Injector（Agent 注入器）

• 功能描述：作为 Kubernetes 突变 Webhook 控制器，可自动将 Vault Agent 容器注入到满足特定注解条件的 Pod 中。
• 作用：Vault Agent 负责处理 Pod 与 Vault 之间的自动认证、敏感信息（如密钥、凭证）获取及动态刷新，简化应用在 Kubernetes 环境中安全访问 Vault 密钥的流程。
• 版本依赖：需配合 Vault 1.3.1 及以上版本使用。

3. 使用场景与适用范围

3.1 使用场景

• Kubernetes 集群中运行的应用需安全获取 Vault 存储的敏感信息（如数据库凭证、API 密钥、TLS 证书等）。
• 需要自动化管理 Pod 与 Vault 之间的认证流程，避免手动配置密钥或长期凭证。
• 需实现敏感信息的动态刷新，确保 Pod 始终使用有效凭证。

3.2 适用范围

• 运行 Kubernetes 集群的环境（版本需兼容 Webhook 控制器功能）。
• 已部署 Vault 1.3.1 及以上版本的环境。
• 需通过容器化方式调度和运行集成组件的场景。

4. 安装与使用方法

4.1 推荐安装方式：Vault Helm Chart

官方推荐通过 Vault Helm chart 进行安装，该方式会自动配置 Vault 与 Kubernetes 的集成组件，适用于现有 Kubernetes 集群环境。

简要步骤（详细配置请参考官方文档）：

1. 添加 HashiCorp Helm 仓库：

   helm repo add hashicorp [***]
   helm repo update
   

2. 安装 Vault Helm chart（默认包含 vault-k8s 集成组件）：

   helm install vault hashicorp/vault --namespace vault --create-namespace
   

4.2 Docker 镜像手动部署

若需手动在调度环境中运行 vault-k8s，可使用官方 Docker 镜像 hashicorp/vault-k8s。

4.2.1 镜像拉取

docker pull hashicorp/vault-k8s:latest

4.2.2 手动运行示例

# 基本运行命令（具体参数需根据环境配置调整）
docker run --name vault-k8s-injector \
  --network=host \
  hashicorp/vault-k8s:latest \
  agent-inject

注：手动部署需自行配置 Kubernetes Webhook 认证、TLS 证书及权限（如 ServiceAccount、ClusterRole 等），建议优先使用 Helm chart 简化配置。

5. 版本兼容性说明

• vault-k8s 版本独立于 Vault 主版本，具体功能对 Vault 版本的要求见各功能说明（如 Agent 注入器需 Vault 1.3.1+）。
• 详细集成文档请参考 Vault 官方网站。