inquicker/vault-auto-unsealer

vault-auto-unsealer

vault-auto-unsealer 是一款辅助在 Kubernetes 集群中运行 Vault 的应用。它通过控制循环检测Vault状态，在需要时自动完成 unseal操作，避免Vault pod重启时需人工干预的问题。尽管这会放弃Vault原生 unseal流程的部分安全性，但在 unseal密钥通过其他方式保护且服务连续性优先的场景下，是可接受的折中方案。

核心功能

• 自动检测Vault密封状态并执行 unseal操作
• 支持初始化Vault，生成并加密 unseal密钥和初始root token
• 持续监控Vault状态，确保服务重启后自动恢复

使用场景

• Kubernetes集群中部署的Vault服务，需避免人工干预实现自动 unseal
• 对服务连续性要求高，且 unseal密钥通过安全渠道管理的场景

配置说明

需设置以下环境变量：

• VAULT_ADDR: Vault服务器地址，示例：[***]
• PGP_KEY_PATH: OpenPGP公钥文件路径（文件为Base64编码的二进制公钥，非ASCII armored格式，且无换行）
• UNSEAL_KEY: 解密后的 unseal密钥，首次部署可设为"placeholder"等非64字节的占位值

使用步骤

1. 首次部署：设置UNSEAL_KEY为占位值（如"placeholder"），镜像会初始化Vault并输出加密后的 unseal密钥和root token到标准输出。
2. 解密密钥：

   bash
   echo -n "$UNSEAL_KEY" | base64 -D | gpg2 --decrypt
   

3. 重新部署：将UNSEAL_KEY设为解密后的密钥，镜像会持续监控并自动 unseal Vault。

部署示例

bash
docker run -d \
  -e VAULT_ADDR=http://vault-service:8200 \
  -e PGP_KEY_PATH=/app/public-key.b64 \
  -e UNSEAL_KEY=placeholder \
  -v /host/path/to/public-key.b64:/app/public-key.b64 \
  inquicker/vault-auto-unsealer

***声明

vault-auto-unsealer基于MIT许可证发布，详情请查看LICENSE文件。