kubevault/vault-unsealer

HashiCorp Vault初始化与解封工具镜像

镜像概述

本Docker镜像提供HashiCorp Vault实例的初始化与解封专用工具，旨在简化Vault的初始部署流程。通过封装Vault初始化和解封的核心逻辑，帮助用户快速完成Vault实例的启动配置，减少手动操作步骤，提升Vault部署效率。

核心功能与特性

• Vault初始化：自动执行Vault实例初始化流程，生成root令牌和解封密钥
• 解封管理：支持手动/自动解封操作，兼容Shamir密钥共享机制
• 密钥持久化：可配置密钥存储路径，支持持久化保存root令牌及解封密钥
• 参数自定义：通过环境变量灵活配置初始化参数（如Shamir阈值、密钥数量等）
• 状态监控：提供Vault密封状态和解封进度的实时查询能力

使用场景与适用范围

• 开发/测试环境：快速部署Vault实例，简化初始化与解封操作
• 自动化部署流程：集成至CI/CD管道，实现Vault初始化流程自动化
• 小型团队场景：降低Vault密钥管理门槛，简化初始配置流程
• 临时环境搭建：快速构建演示或测试用Vault实例

使用方法与配置说明

基础运行命令

bash
docker run -d \
  --name vault-init-tool \
  -e VAULT_ADDR="http://vault:8200" \
  -e SHAMIR_THRESHOLD=3 \
  -v ./vault-keys:/data \
  [镜像名称]

环境变量配置

卷挂载说明

• /data：用于持久化存储root令牌和解封密钥文件，建议挂载宿主机目录以防止密钥丢失

操作流程

1. 启动容器

使用基础命令启动容器，确保配置正确的Vault服务地址（VAULT_ADDR）

2. 初始化Vault（自动模式）

• 容器启动后自动执行初始化（当INITIALIZE=true）
• 生成的root令牌和解封密钥保存至/data目录：
  • root_token：Vault管理员令牌
  • unseal_keys.json：Shamir解封密钥列表

3. 执行解封操作

自动解封（AUTO_UNSEAL=true）：

• 容器自动使用/data/unseal_keys.json中的密钥执行解封

手动解封：

bash
# 获取解封密钥
docker exec -it vault-init-tool cat /data/unseal_keys.json

# 使用Vault CLI执行解封
vault operator unseal <解封密钥1>
vault operator unseal <解封密钥2>
# 直至达到Shamir阈值

状态监控

通过容器日志查看操作状态：

bash
docker logs vault-init-tool

日志将显示初始化进度、解封状态及错误信息。

注意事项

• 生产环境建议禁用AUTO_UNSEAL，采用手动解封并严格管理密钥
• 确保密钥存储目录权限安全，防止密钥泄露
• 目标Vault服务需提前启动且网络可达（默认端口8200）
• 兼容Vault 1.0+版本，建议使用最新稳定版Vault服务