pete911/vault-auth-kubernetes

pete911/vault-auth-kubernetes 镜像说明

镜像概述

本镜像提供Kubernetes集群与HashiCorp Vault之间的身份认证能力，基于Kubernetes ServiceAccount实现安全的身份验证流程，支持集群内应用程序安全访问Vault存储的秘密数据（如数据库凭证、API密钥等）。

核心功能

1. 基于Kubernetes ServiceAccount的身份验证流程
2. 与Vault的Kubernetes Auth Method无缝集成
3. 支持通过Vault角色绑定控制ServiceAccount的访问权限
4. 轻量部署，易于与现有Kubernetes集群集成

使用场景

• 集群内微服务需要安全获取Vault中的敏感配置信息
• 自动化部署流程中需动态获取临时凭证
• 多环境（开发/测试/生产）下的秘密数据统一管理与访问控制

配置说明

1. Vault端配置：

   • 启用Kubernetes Auth Method：vault auth enable kubernetes
   • 配置集群信息：vault write auth/kubernetes/config kubernetes_host=https://<K8S_API_SERVER> kubernetes_ca_cert=@ca.crt
   • 创建Vault角色：vault write auth/kubernetes/role/<ROLE_NAME> bound_service_account_names=<SA_NAME> bound_service_account_namespaces=<NS_NAME> policies=<POLICY_NAME>

2. 镜像运行配置：

   • 环境变量：VAULT_ADDR（Vault服务地址）、VAULT_ROLE（绑定的Vault角色名称）、KUBERNETES_SERVICE_ACCOUNT_TOKEN（ServiceAccount令牌路径，默认/var/run/secrets/kubernetes.io/serviceaccount/token）

部署示例

Docker Run命令

bash
docker run -d \
  -e VAULT_ADDR=https://vault.example.com:8200 \
  -e VAULT_ROLE=my-app-role \
  -v /var/run/secrets/kubernetes.io/serviceaccount:/var/run/secrets/kubernetes.io/serviceaccount \
  pete911/vault-auth-kubernetes

Kubernetes Deployment示例

yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: vault-auth-demo
spec:
  replicas: 1
  selector:
    matchLabels:
      app: vault-auth-demo
  template:
    metadata:
      labels:
        app: vault-auth-demo
    spec:
      serviceAccountName: my-service-account
      containers:
      - name: vault-auth
        image: pete911/vault-auth-kubernetes
        env:
        - name: VAULT_ADDR
          value: "https://vault.example.com:8200"
        - name: VAULT_ROLE
          value: "my-app-role"

更多详细配置请参考https://github.com/pete911/vault-auth-kubernetes%E3%80%82