razorpay/kubestash

kubestash

概述

kubestash 是一个用于将 Credstash 密钥推送到 Kubernetes 的工具，可实现 Credstash 存储的密钥与 Kubernetes Secret 的同步，方便在 Kubernetes 环境中管理和使用这些密钥。

核心功能与特性

• 密钥同步：从指定的 Credstash 表拉取密钥并推送到 Kubernetes Secret
• 灵活配置：支持 Kubernetes 命名空间、上下文、API 服务器代理、AWS 区域等参数设置
• 密钥管理：可强制替换已存在的 Secret，支持保留元数据信息
• 密钥转换：提供大小写转换功能，适应不同环境的密钥命名规范（如转换为大写环境变量或 DNS 子域名格式）
• 自动同步：通过 daemon 模式监控 DynamoDB Streams，实现密钥更新的自动同步

安装

bash
pip3 install kubestash

使用方法

命令语法

bash
kubestash push [-h] [-p PROXY] [-v] [--trace] [-f] [-n NAMESPACE] [-l] [-c CONTEXT] [-r REGION] table secret

位置参数

可选参数

在部署中添加环境变量

将以下配置添加到容器定义中，从 Secret 导入环境变量：

yaml
envFrom:
- secretRef:
    name: secret-name  # 替换为实际的 Secret 名称

示例配置可参考 test/example.deploy.yaml。

使用场景

kubestash 适用于以下场景：

• 同时使用 Credstash 存储环境变量密钥和 Kubernetes 管理容器环境
• 需要将 Credstash 中的密钥同步到 Kubernetes 供应用使用
• 需要自动监控 Credstash 密钥更新并同步到 Kubernetes

基本同步

手动将 Credstash 表中的密钥推送到 Kubernetes Secret：

bash
kubestash push -v TABLE SECRET

自动同步

通过 daemon 模式监控 DynamoDB 更新并自动同步：

bash
kubestash daemon -v TABLE SECRET

该模式利用 DynamoDB Streams 监控 Credstash 表变化，密钥更新时自动触发同步。

密钥名称约束

Kubernetes Secret 密钥名称需符合以下规范：

• 必须包含字母数字字符、‘-’、‘_’ 或 ‘.’ [1]
• 环境变量名称仅限大写字母、数字和下划线 '_' [2]

使用 credstash -t=table put KEY VALUE 时，需确保 KEY 符合上述约束。对于旧版 Kubernetes，可使用 -l --lowercase 标志转换密钥格式（已弃用）。

[1] []
[2] []

已知问题

SSL 错误问题

使用旧版 Python 时可能出现以下 SSL 错误：

SSLError(SSLError(1, u'[SSL: TLSV1_ALERT_PROTOCOL_VERSION] tlsv1 alert protocol version (_ssl.c:590)'),)

解决方法

1. 更新依赖并重新安装 Python：

bash
brew update
brew install openssl
brew uninstall python3
brew install python3

2. 使用代理规避问题：

bash
kubectl proxy -p 8080
kubestash --proxy 127.0.0.1:8080 table secret