hashicorp/vault-plugin-secrets-kubernetes

Vault Kubernetes Secrets插件Docker镜像文档

镜像概述

Vault Kubernetes secrets插件是HashiCorp Vault的官方后端插件，专为与Kubernetes集成设计，提供安全的secrets管理功能。该插件允许Vault动态生成Kubernetes服务账户令牌，并可选择性创建关联的Kubernetes资源（如服务账户、角色绑定和角色）。Docker镜像封装了插件运行环境，支持在容器化架构中部署，仅兼容运行于Linux操作系统的Vault服务器。

核心功能和特性

• Kubernetes服务账户令牌生成
  核心能力是动态生成Kubernetes服务账户令牌，用于服务身份验证与授权，避免静态凭证管理风险。

• 扩展资源创建
  支持根据配置自动创建Kubernetes服务账户（ServiceAccount）、角色绑定（RoleBinding）和角色（Role），简化Kubernetes资源管理流程。

• 容器化部署支持
  提供Docker镜像封装，适配容器化部署架构，便于集成到容器编排平台（如Kubernetes、Docker Compose）中统一管理。

• 平台兼容性
  仅支持运行在Linux操作系统上的Vault服务器，确保与Linux环境下的Vault部署兼容。

使用场景和适用范围

• Vault与Kubernetes集成环境
  适用于已部署HashiCorp Vault的企业级环境，需通过Vault集中管理Kubernetes服务账户令牌的场景。

• 动态凭证管理需求
  适合需要动态生成、自动轮换Kubernetes服务账户令牌的场景，提升凭证安全性，降低人工管理成本。

• 容器化插件架构
  适用于采用容器化方式部署Vault插件的架构，需保证插件运行环境一致性和版本管理便捷性的场景。

使用方法和配置说明

前置条件

• 环境要求：运行在Linux操作系统上的HashiCorp Vault服务器（推荐使用官方支持的Vault版本）。
• Kubernetes集群：已部署的Kubernetes集群，且Vault服务器需具备访问Kubernetes API的网络权限。
• 容器运行时：Docker或其他兼容OCI标准的容器运行时环境。

部署步骤

1. 获取插件镜像

从HashiCorp官方仓库拉取指定版本的插件Docker镜像（版本号需根据实际需求选择）：

bash
docker pull hashicorp/vault-plugin-secrets-kubernetes:<版本号>

2. 注册并启用插件

需将插件注册到Vault的插件目录，并启用为后端服务。具体步骤如下：

2.1 准备插件二进制

通过Docker容器将插件二进制文件挂载到Vault的插件目录（假设Vault插件目录为/vault/plugins）：

bash
docker run --rm -v /vault/plugins:/plugins hashicorp/vault-plugin-secrets-kubernetes:<版本号> \
  cp /vault-plugin-secrets-kubernetes /plugins/

2.2 计算插件SHA256哈希

获取插件二进制的SHA256哈希值（Vault注册插件时需验证）：

bash
sha256sum /vault/plugins/vault-plugin-secrets-kubernetes | awk '{print $1}'

2.3 注册插件

使用Vault CLI注册插件（替换<SHA256哈希>为上一步计算的值）：

bash
vault plugin register -sha256=<SHA256哈希> secret kubernetes

2.4 启用插件后端

在Vault中启用Kubernetes secrets插件后端（可自定义挂载路径，此处使用kubernetes）：

bash
vault secrets enable -path=kubernetes kubernetes

3. 配置Kubernetes集成

启用插件后，需配置与Kubernetes集群的连接信息，包括API地址、认证方式等。示例配置如下：

bash
# 使用Kubernetes服务账户令牌认证（适用于Vault运行在Kubernetes集群内的场景）
vault write kubernetes/config \
  kubernetes_host="https://$KUBERNETES_SERVICE_HOST:$KUBERNETES_SERVICE_PORT" \
  kubernetes_ca_cert=@/var/run/secrets/kubernetes.io/serviceaccount/ca.crt \
  token_reviewer_jwt=@/var/run/secrets/kubernetes.io/serviceaccount/token

# 或使用手动指定的kubeconfig认证（适用于Vault运行在集群外的场景）
vault write kubernetes/config \
  kubernetes_host="https://<k8s-api-server-ip>:6443" \
  kubernetes_ca_cert=@/path/to/ca.crt \
  kubeconfig=@/path/to/kubeconfig

注意事项

• 权限配置：Vault服务器需具备足够的Kubernetes API权限（如创建服务账户、角色绑定等），建议通过RBAC为Vault配置最小权限策略。
• 版本兼容性：插件版本需与Vault服务器版本兼容，具体兼容性信息请参考https://github.com/hashicorp/vault-plugin-secrets-kubernetes%E3%80%82
• 安全加固：生产环境中需通过TLS加密Vault与Kubernetes API的通信，避免敏感配置泄露。

参考链接

• 官方代码仓库：https://github.com/hashicorp/vault-plugin-secrets-kubernetes
• Vault插件管理文档：Vault Plugin System