kennyopennix/vault-autounseal Docker 镜像 - 轩辕镜像

vault-auto-unseal

镜像概述和主要用途

vault-auto-unseal 旨在解决无法使用AWS、GCP等云服务提供商时的Vault自动 unseal 问题。其核心思想是使用Kubernetes密钥作为自动 unseal 的源，实现Vault服务的自动 unseal 功能，支持以Docker容器或Kubernetes部署方式运行。

核心功能和特性

• Kubernetes密钥集成：将Vault根密钥和密钥存储在Kubernetes密钥中，作为自动 unseal 的数据源
• 灵活配置：支持通过环境变量配置Vault密钥份额数量、阈值、命名空间等关键参数
• 多部署方式：可作为Docker容器独立运行，或部署在Kubernetes集群中
• 兼容性：与Python 3.7+及Kubernetes环境兼容

使用场景和适用范围

适用于需要实现Vault自动 unseal，但受限于无法使用AWS KMS、GCP KMS等云服务的场景，特别适合基于Kubernetes的本地化部署环境。

依赖环境

• Kubernetes集群
• Python 3.7及以上版本（源码运行时需安装，容器化部署无需单独配置）

使用方法和配置说明

源码运行步骤（非容器化）

1. 从代码仓库检出源代码
2. 通过pip安装依赖：pip install -r requirements.txt
3. 配置系统环境变量（详见下文环境变量说明）
4. 运行脚本：python app.py

环境变量配置

部署方法

Docker容器部署

构建Docker镜像

shell
docker build . -t vault-autounseal:latest

拉取现有镜像

可直接从DockerHub拉取官方镜像：

shell
docker pull kennyopennix/vault-autounseal:latest

运行Docker容器示例

shell
docker run -e VAULT_URL=[***] \
  -e VAULT_SECRET_SHARES=5 \
  -e VAULT_SECRET_THRESHOLD=3 \
  -e NAMESPACE=default \
  -e VAULT_ROOT_TOKEN_SECRET=vault-root-token \
  -e VAULT_KEYS_SECRET=vault-keys \
  kennyopennix/vault-autounseal:latest

Kubernetes部署

可将镜像部署在Kubernetes集群中，需确保集群已配置相应的命名空间和密钥（具体Kubernetes部署清单需根据实际环境编写）。