readytalk/kube-vault-deploy

Kubernetes部署与Vault认证

这是一个Docker容器，用于通过Vault认证，使用kubectl或helm工具将应用部署到Kubernetes集群。支持开发本地手动部署和CI流水线自动化部署场景，可灵活配置工具版本及secret管理。

前提条件

• Kubernetes集群
• Vault实例
  • 已预加载包含Kubernetes配置的secret
  • 可选：已配置LDAP

使用场景

该容器主要适用于两种场景：

开发/本地部署

从个人工作站手动部署到Kubernetes集群（通过kubectl或helm），支持LDAP或VAULT_TOKEN环境变量认证。

LDAP方式示例：

bash
docker run --rm -it \
    --name=kube-vault-deploy \
    -e KUBE_CLUSTER=blue.my-domain.com \
    -e VAULT_ADDR=https://vault.my-domain.com:8200 \
    -e VAULT_KUBE_PATH=secret/kubernetes/blue.my-domain.com/kube-config \
    -v ~/.vault-token-deploy:/vault-token:rw \
    -v $(pwd)/deploy:/scripts:ro \
    readytalk/kube-vault-deploy

流水线部署

从Jenkins/Travis等CI工具进行脚本化/自动化部署，需传入VAULT_TOKEN进行认证。

示例：

bash
docker run --rm \
    --name=kube-vault-deploy \
    -e AUTO_BUILD=true \
    -e KUBE_CLUSTER=blue.my-domain.com \
    -e VAULT_ADDR=https://vault.my-domain.com:8200 \
    -e VAULT_KUBE_PATH=secret/kubernetes/blue.my-domain.com/kube-config \
    -e VAULT_TOKEN=$VAULT_TOKEN \
    -v $(pwd)/deploy:/scripts:ro \
    readytalk/kube-vault-deploy

配置说明

环境变量

可通过-e参数传递以下环境变量自定义容器行为：

卷挂载

通过-v参数映射以下卷：

Secret配置

可通过以下方式传入secret配置（定义从Vault拉取的secret值，格式参考https://github.com/ReadyTalk/vault-to-envs%EF%BC%89%EF%BC%9A

• 设置SECRET_CONFIG环境变量，包含JSON配置文本
• 将secret_config.json文件挂载到容器工作目录

部署脚本

需将部署脚本目录挂载到容器的/scripts路径。容器默认执行该目录下的deploy.sh脚本启动部署，脚本可结合kubectl/helm及自定义环境变量实现部署逻辑。

示例

假设项目结构如下：

deploy/
│   deploy.sh
│
└── helm_chart/
│   │   Chart.yaml
│   │   values.yaml
│   │   values-dev.yaml
│   │   values-prod.yaml
│   │
│   └───templates/
│       │   deployment.yaml
│       │   service.yaml
│       │   ...
src/
│   ...
lib/
│   ...
README.md
...

deploy/deploy.sh内容：

bash
#!/bin/bash

helm upgrade --values helm_chart/values-$HELM_ENV.yaml $HELM_ENV-release helm_chart/

从项目根目录执行部署：

bash
docker run --rm -it \
    --name=kube-vault-deploy \
    -e VAULT_ADDR=https://vault.my-domain.com:8200 \
    -e KUBE_CLUSTER=blue.my-domain.com \
    -e VAULT_KUBE_PATH=secret/kubernetes/blue.my-domain.com/kube-config \
    -e HELM_ENV=dev \
    -v $(pwd)/deploy:/scripts:ro \
    readytalk/kube-vault-deploy

执行流程：

1. 因未传入VAULT_TOKEN，提示输入LDAP凭据
2. 从Vault的secret/kubernetes/blue.my-domain.com/kube-config获取Kubernetes配置
3. 执行挂载的deploy.sh脚本
4. HELM_ENV为自定义变量，用于选择helm values文件
5. 执行helm升级操作