limebike/secrets-manager

AWS Secrets Manager to Kubernetes 同步服务镜像

镜像概述

该镜像提供一个Kubernetes服务，专门用于将AWS Secrets Manager中存储的密钥安全、自动地传输到Kubernetes集群，实现密钥的跨平台同步与管理。

主要用途

解决在Kubernetes环境中使用AWS Secrets Manager管理密钥时的同步问题，确保Kubernetes集群中的密钥资源与AWS Secrets Manager保持一致，避免手动操作带来的安全风险和不一致性。

核心功能和特性

• 自动密钥同步：定期或实时检测AWS Secrets Manager中的密钥变更，并同步到Kubernetes Secrets资源
• 安全传输：通过AWS SDK和Kubernetes API进行加密通信，确保密钥传输过程的安全性
• 灵活映射：支持自定义AWS密钥名称与Kubernetes Secret名称的映射关系
• 多命名空间支持：可配置将密钥同步到Kubernetes集群中的指定命名空间
• 变更检测：自动识别密钥内容变更并触发更新，无需手动干预

使用场景和适用范围

• 使用AWS Secrets Manager作为密钥管理工具的Kubernetes集群环境
• 需要在Kubernetes中安全使用AWS托管密钥的生产系统
• 希望实现密钥自动化管理、减少人工操作的DevOps流程
• 多环境（开发、测试、生产）密钥同步需求的场景

使用方法和配置说明

环境变量配置

Kubernetes部署示例

1. 创建Service Account和RBAC权限

yaml
apiVersion: v1
kind: ServiceAccount
metadata:
  name: aws-secrets-sync
  namespace: default
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: secrets-manager
rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["get", "list", "create", "update"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: aws-secrets-sync-binding
subjects:
- kind: ServiceAccount
  name: aws-secrets-sync
  namespace: default
roleRef:
  kind: ClusterRole
  name: secrets-manager
  apiGroup: rbac.authorization.k8s.io

2. 创建Deployment

yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: aws-secrets-sync
  namespace: default
spec:
  replicas: 1
  selector:
    matchLabels:
      app: aws-secrets-sync
  template:
    metadata:
      labels:
        app: aws-secrets-sync
    spec:
      serviceAccountName: aws-secrets-sync
      containers:
      - name: aws-secrets-sync
        image: [镜像名称]  # 替换为实际镜像名称
        env:
        - name: AWS_ACCESS_KEY_ID
          valueFrom:
            secretKeyRef:
              name: aws-credentials
              key: access-key
        - name: AWS_SECRET_ACCESS_KEY
          valueFrom:
            secretKeyRef:
              name: aws-credentials
              key: secret-key
        - name: AWS_REGION
          value: "us-west-2"
        - name: KUBERNETES_NAMESPACE
          value: "default"
        - name: SECRET_MAPPING
          value: "db-credentials:mysql-secret,api-token:api-secret"
        - name: SYNC_INTERVAL
          value: "300"

注意事项

• 确保配置的IAM用户具有secretsmanager:GetSecretValue权限
• Kubernetes ServiceAccount需要具备操作Secrets的权限（如示例中的RBAC配置）
• 敏感的AWS凭证建议通过Kubernetes Secret挂载，而非直接明文配置
• 根据实际密钥数量和变更频率调整同步间隔，避免过度API调用
• 首次运行时会全量同步指定映射的密钥，后续按间隔进行增量同步