openiamdocker/vault-bootstrap

Vault数据初始化镜像文档

镜像概述和主要用途

该Docker镜像专为Vault服务的数据初始化设计，旨在简化Vault部署过程中的初始数据配置、环境准备及基础设置工作。通过自动化初始化流程，帮助用户快速完成Vault服务的初始化阶段，确保服务能够基于预设配置正常启动并运行，减少手动操作成本和配置错误风险。

核心功能和特性

• Vault初始化配置：自动生成初始密钥（Key Shares）、根令牌（Root Token），完成Vault服务的核心初始化步骤
• 数据目录管理：自动创建并配置Vault数据存储目录，确保目录结构、权限符合Vault运行要求
• 环境变量支持：通过环境变量灵活配置初始化参数，如密钥数量、密钥阈值、根令牌等
• 配置文件生成：根据输入参数自动生成Vault初始化所需的配置文件，支持自定义配置项注入
• 初始化状态验证：内置初始化结果检查机制，确保数据初始化成功并输出关键信息（如密钥、令牌）
• 轻量级设计：基于精简基础镜像构建，体积小、启动快，适合集成到自动化部署流程

使用场景和适用范围

• Vault首次部署：在新环境部署Vault服务时，快速完成初始数据配置，避免手动执行复杂初始化命令
• 环境重建/迁移：Vault环境迁移或重建时，通过预设参数快速重置并初始化数据，确保环境一致性
• 开发/测试环境：开发或测试过程中，快速搭建包含预设配置的Vault实例，用于功能验证和集成测试
• 自动化部署流程：作为CI/CD流水线的一部分，集成到自动化部署脚本中，实现Vault服务的无人值守初始化

使用方法和配置说明

基本使用（Docker Run）

bash
docker run -d \
  --name vault-init \
  -e VAULT_ADDR="http://vault-service:8200" \  # Vault服务地址（需提前启动Vault服务）
  -e VAULT_KEY_SHARES=5 \                      # 生成的密钥数量（默认5）
  -e VAULT_KEY_THRESHOLD=3 \                   # 解锁Vault所需的最小密钥数量（默认3）
  -e VAULT_ROOT_TOKEN="your-secure-token" \    # 自定义根令牌（可选，不填则自动生成）
  -v /host/path/to/vault/data:/vault/data \    # 挂载Vault数据目录（需与Vault服务共享）
  vault-init:latest

Docker Compose配置示例

yaml
version: '3.8'
services:
  vault:
    image: vault:latest
    container_name: vault-service
    ports:
      - "8200:8200"
    volumes:
      - vault-data:/vault/data
    environment:
      - VAULT_ADDR="http://0.0.0.0:8200"
      - VAULT_DEV_MODE=false  # 禁用开发模式，使用生产模式初始化
    restart: unless-stopped

  vault-init:
    image: vault-init:latest
    container_name: vault-init
    depends_on:
      - vault  # 确保Vault服务先启动
    environment:
      - VAULT_ADDR="http://vault:8200"
      - VAULT_KEY_SHARES=5
      - VAULT_KEY_THRESHOLD=3
      - VAULT_ROOT_TOKEN_FILE="/run/secrets/vault-root-token"  # 从文件读取根令牌（推荐生产环境）
    volumes:
      - vault-data:/vault/data
      - ./secrets:/run/secrets  # 挂载包含根令牌的密钥文件
    restart: on-failure  # 初始化完成后自动退出，失败时重启

volumes:
  vault-data:  # 共享数据卷，确保vault和vault-init访问同一份数据

核心配置参数说明

环境变量

命令行参数

注意事项

1. 数据目录共享：必须确保vault-init容器与Vault服务容器挂载同一份数据卷（如示例中的vault-data），否则初始化数据无法被Vault服务识别
2. Vault服务状态：初始化前需确保Vault服务已启动且处于未初始化状态（可通过vault status命令检查）
3. 根令牌安全：生产环境中禁止通过VAULT_ROOT_TOKEN环境变量明文传递根令牌，推荐使用VAULT_ROOT_TOKEN_FILE从密钥文件读取，或使用Vault的自动生成机制并妥善保管输出的令牌
4. 密钥保管：初始化成功后，vault-init会输出所有密钥（Key Shares）和根令牌，需立即安全存储（如存入密钥管理系统），丢失后无法恢复Vault数据
5. 权限设置：数据目录挂载时需确保权限正确（建议设置UID/GID为1000:1000，与Vault默认运行用户一致）