热门搜索:
postfinance/vault-kubernetes-token-renewer
postfinance
作为Sidecar容器，定期续期由vault-kubernetes-authenticator初始化容器获取的Vault令牌，确保Pod生命周期内令牌持续有效。
1 次收藏下载次数: 0状态：社区镜像维护者：postfinance仓库类型：镜像最近更新：4 个月前
让 AI 帮你使用轩辕镜像？ · 展开查看说明
如果你使用 DeepSeek、元宝 AI、Copilot、ChatGPT 等 AI 工具，协助配置轩辕镜像、编写 docker pull 命令、修改 Docker Compose 镜像地址、配置镜像加速、排查镜像拉取失败、分析报错日志等问题，请先让 AI 阅读并遵守轩辕镜像的规则文档。
只需在 AI 对话中先发送下面这句话即可：
请先完整阅读并严格遵守以下文档中的全部规则与要求：
https://xuanyuan.cloud/agents.md
在未充分阅读并理解该文档前，不要生成任何命令、配置、修改建议、故障排查方案或技术回答。后续所有输出都必须严格以该文档中的规范为最高优先级执行。查看 agents.md 用法指南与完整示范。国内用户首推 元宝 AI、DeepSeek 的深度思考模式，不推荐豆包 AI；Cursor 等编辑器可在对话 @ 该链接，或加入 User Rules。 若 AI 无法访问外链，可 打开说明文档 复制全文粘贴。文档会随站点更新，复制内容可能过期，建议定期检查。
vault-kubernetes-authenticator 镜像文档
概述
vault-kubernetes-authenticator是一个用于Kubernetes环境与Vault集成的工具镜像，提供初始化容器（Init Container）和Sidecar容器，实现Vault令牌获取、Vault密钥同步至Kubernetes密钥以及令牌续期功能，保障Pod在生命周期内安全访问Vault资源。
核心功能与特性
- 令牌获取：通过初始化容器
vault-kubernetes-authenticator向Vault进行身份验证，获取一次性使用的Vault令牌。 - 密钥同步：通过初始化容器
vault-kubernetes-synchronizer将Vault密钥同步至Kubernetes密钥，并支持标签管理和过期密钥清理。 - 令牌续期：通过Sidecar容器
vault-kubernetes-token-renewer定期续期Vault令牌，确保Pod生命周期内令牌有效。 - 灵活配置：支持Vault客户端环境变量配置、密钥映射规则、编码处理及自定义标签和注解。
使用场景
场景1 - 获取一次性Vault令牌
启动初始化容器vault-kubernetes-authenticator向Vault进行身份验证并获取令牌，令牌将在指定TTL后过期，适用于一次性访问Vault的场景。
场景2 - 同步Vault密钥至Kubernetes密钥
先通过vault-kubernetes-authenticator获取Vault令牌，再启动vault-kubernetes-synchronizer将指定Vault密钥同步为Kubernetes密钥，支持密钥映射、编码处理及标签管理。
场景3 - 获取Pod生命周期内的Vault令牌
先通过vault-kubernetes-authenticator获取令牌，再启动Sidecar容器vault-kubernetes-token-renewer定期续期令牌，确保Pod运行期间令牌持续有效。
问题说明
- 当
vault-kubernetes-token-renewer续期失败时（restartPolicy=always），容器将重启。若令牌已过期无法续期，需重启Pod由vault-kubernetes-authenticator重新获取令牌。 - 若启用
VAULT_REAUTH=true，令牌续期失败时将重新认证，此时需确保提供vault-kubernetes-authenticator所需的所有认证环境变量，且令牌消费者需支持重新读取令牌文件。
Vault客户端配置
支持通过环境变量配置Vault客户端，常用变量如下：
VAULT_ADDR：Vault服务器地址VAULT_CACERT：CA证书路径VAULT_SKIP_VERIFY：是否跳过TLS验证（默认false）VAULT_TOKEN：Vault令牌VAULT_ROLE：用于身份验证的Vault角色名称
最小配置需设置
VAULT_ADDR，若未配置TLS验证，需设置VAULT_SKIP_VERIFY=true。
初始化容器：vault-kubernetes-authenticator
用于向Vault进行身份验证并获取令牌，存储至指定路径供其他容器使用。
配置
| 环境变量 | 描述 | 是否必需 | 默认值 |
|---|---|---|---|
VAULT_ROLE | 用于身份验证的Vault角色名称 | 是 | - |
VAULT_TOKEN_PATH | 存储令牌的磁盘路径（通常为共享卷） | 否 | - |
VAULT_AUTH_MOUNT_PATH | Vault中Kubernetes认证方法的挂载路径 | 否 | kubernetes |
SERVICE_ACCOUNT_TOKEN_PATH | Kubernetes服务账户JWT令牌路径 | 否 | /var/run/secrets/kubernetes.io/serviceaccount/token |
ALLOW_FAIL | 身份验证失败时是否允许容器成功退出（需后续容器处理失败场景） | 否 | false |
示例
bash# 容器日志示例 $ k logs vault-kubernetes-authenticator-5675d58d95-4wd8v -c vault-kubernetes-authenticator 2018/11/26 14:56:29 successfully authenticated to vault 2018/11/26 14:56:29 successfully stored vault token at /home/vault/.vault-token # 验证令牌文件 $ k exec -ti vault-kubernetes-authenticator-5675d58d95-4wd8v sh ~ $ VAULT_TOKEN=$(cat /home/vault/.vault-token) ~ $ echo $VAULT_TOKEN 8Pj0EzFLWQv8uWcjbP9hF1MB
初始化容器：vault-kubernetes-synchronizer
依赖vault-kubernetes-authenticator获取的令牌，将Vault密钥同步至Kubernetes密钥，并管理密钥生命周期。
密钥映射规则
| 映射格式 | Vault密钥路径 | Kubernetes密钥名称 |
|---|---|---|
secret/k8s/first | secret/k8s/first | first |
secret/k8s/first:third | secret/k8s/first | third |
secret/k8s/ | secret/k8s/first、secret/k8s/second | first、second |
Kubernetes密钥名称和标签需符合RFC-1123规范。
编码处理
若Vault中存储的是二进制数据（如Java KeyStore），需使用base64编码并添加前缀base64:。例如：
bash# 生成Vault密钥内容 echo "base64:$(base64 -w0 filename)"
同步时会自动解码，避免双重编码。
配置
| 环境变量 | 描述 | 是否必需 | 默认值 |
|---|---|---|---|
VAULT_TOKEN_PATH | 存储令牌的磁盘路径（与vault-kubernetes-authenticator共享） | 是 | - |
VAULT_SECRETS | 待同步的Vault密钥列表，逗号分隔（遵循密钥映射规则） | 是 | - |
SECRET_PREFIX | Kubernetes密钥名称前缀（如v3t_，则Vault密钥first同步为v3t_first） | 否 | - |
SYNCHRONIZER_ANNOTATION | 用于标记同步生成的Kubernetes密钥的注解键名 | 否 | vault-secret |
SYNCHRONIZER_LABELS | 添加到同步密钥的标签，格式k1=v1,k2=v2（重复键会覆盖现有标签） | 否 | - |
错误处理
- 若
vault-kubernetes-authenticator身份验证失败且ALLOW_FAIL=true：- 检查所有
VAULT_SECRETS对应的Kubernetes密钥是否已存在，存在则警告后成功退出； - 若任一密钥不存在，则同步失败。
- 检查所有
示例
Vault中存在两个密钥：
bash$ vault kv get secret/k8s/first === Data === Key Value --- ----- one 12345678 two 23456781 $ vault kv get secret/k8s/second === Data === Key Value --- ----- green lantern poison ivy
部署配置：
yaml# deployment.yaml 片段 env: - name: VAULT_SECRETS value: secret/data/k8s/first,secret/data/k8s/second
同步结果：
bash$ k get secrets | grep -e first -e second first Opaque 2 16m second Opaque 2 16m $ k describe secret first Name: first Namespace: vault-test Annotations: vault-secret=secret/data/k8s/first Type: Opaque Data ==== one: 8 bytes two: 8 bytes
Sidecar容器：vault-kubernetes-token-renewer
依赖vault-kubernetes-authenticator获取的令牌，定期续期Vault令牌，确保Pod生命周期内令牌有效。
配置
| 环境变量 | 描述 | 是否必需 | 默认值 |
|---|---|---|---|
VAULT_TOKEN_PATH | 存储令牌的磁盘路径（与vault-kubernetes-authenticator共享） | 是 | - |
VAULT_REAUTH | 令牌无效时是否重新认证（需提供vault-kubernetes-authenticator的认证环境变量） | 否 | false |
VAULT_TTL | 请求的令牌TTL（Vault可能覆盖此值） | 否 | - |
示例
bash# 初始化容器日志 $ k logs vault-kubernetes-token-renewer-844488f7bc-c6ztf -c vault-kubernetes-authenticator 2018/11/26 14:56:30 successfully authenticated to vault 2018/11/26 14:56:30 successfully stored vault token at /home/vault/.vault-token # Sidecar容器日志 $ k logs vault-kubernetes-token-renewer-844488f7bc-c6ztf -c vault-kubernetes-token-renewer 2018/11/26 14:56:32 start renewer loop 2018/11/26 14:56:32 token renewed
credits
基于https://github.com/sethvargo/vault-kubernetes-authenticator%E3%80%82
相关链接
- Vault Kubernetes认证方法
- Kubernetes初始化容器
- 使用HashiCorp Vault与Kubernetes (Cloud Next '18)
镜像拉取方式
您可以使用以下命令拉取该镜像。请将 <标签> 替换为具体的标签版本。如需查看所有可用标签版本，请访问 标签列表页面。
轩辕镜像加速拉取命令点我查看更多 vault-kubernetes-token-renewer 镜像标签
docker pull docker.xuanyuan.run/postfinance/vault-kubernetes-token-renewer:<标签>
DockerHub 原生拉取命令
docker pull postfinance/vault-kubernetes-token-renewer:<标签>
镜像拉取常见问题
功能
错误码
用户好评
来自真实用户的反馈，见证轩辕镜像的优质服务
oldzhang
运维工程师
Linux服务器
5
"Docker访问体验非常流畅，大镜像也能快速完成下载。"