rplan/kubernetes-vault-init

kubernetes-vault-init

增强型初始化容器，适用于https://github.com/Boostport/kubernetes-vault%E3%80%82%E5%9F%BA%E4%BA%8E%60boostport/kubernetes-vault-init%60%E9%95%9C%E5%83%8F%EF%BC%8C%E5%9C%A8%E8%8E%B7%E5%8F%96Vault%E4%BB%A4%E7%89%8C%E5%90%8E%EF%BC%8C%E9%A2%9D%E5%A4%96%E4%BD%BF%E7%94%A8https://github.com/actano/vault-template%E6%B8%B2%E6%9F%93%E9%9D%99%E6%80%81%E9%85%8D%E7%BD%AE%E6%96%87%E4%BB%B6%E3%80%82

核心功能

1. 与kubernetes-vault集成，自动获取Vault访问令牌
2. 使用vault-template根据模板文件渲染包含Vault秘密的静态配置
3. 将渲染后的配置文件输出到指定路径，供主容器读取使用

使用场景

适用于Kubernetes集群中需要从Vault安全获取敏感信息（如数据库凭证、API密钥）并生成静态配置文件的应用，确保敏感数据的安全传递和使用。

配置说明

通过以下环境变量配置初始化容器：

关于模板编写，请参考https://github.com/actano/vault-template%E6%96%87%E6%A1%A3%E3%80%82

部署示例

1. 在Vault中写入秘密

bash
vault write secret/login username=admin password=secret

2. 创建模板文件的ConfigMap

yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: secrets-template
data:
  secrets.template.yml: |
    login:
      username: {{ vault "secret/login" "username" }}
      password: {{ vault "secret/login" "password" }}

3. 部署使用该初始化容器的Pod

yaml
apiVersion: v1
kind: Pod
metadata:
  annotations:
    pod.boostport.com/vault-approle: sample-app
    pod.boostport.com/vault-init-container: init-secrets
spec:
  initContainers:
    - name: init-secrets
      image: docker.xuanyuan.run/rplan/kubernetes-vault-init
      env:
        - name: VAULT_ROLE_ID
          value: <...> # Vault应用角色的UUID
        - name: VAULT_ADDR
          value: http://vault.example.com:8200
        - name: TEMPLATE_FILE
          value: /var/run/secrets/config-template/secrets.template.yml
        - name: OUTPUT_FILE
          value: /var/run/secrets/config/secrets.yml
      volumeMounts:
        - name: secrets-config-template
          mountPath: /var/run/secrets/config-template
        - name: secrets-config
          mountPath: /var/run/secrets/config
  containers:
    - name: sample-app
      image: docker.xuanyuan.run/<...> # 消费/var/run/secrets/config/secrets.yml的应用镜像
      volumeMounts:
        - name: secrets-config
          mountPath: /var/run/secrets/config
          readOnly: true
  volumes:
    - name: secrets-config-template
      configMap:
        name: secrets-template
    - name: secrets-config
      emptyDir: {}

Pod启动后，sample-app容器将在/var/run/secrets/config/secrets.yml路径下获得以下静态配置文件：

yaml
login:
  username: admin
  password: secret