tuentitech/secrets-manager

secrets-manager

https://circleci.com/gh/tuenti/secrets-manager/tree/master.svg?style=svg](https://circleci.com/gh/tuenti/secrets-manager/tree/master) https://goreportcard.com/badge/github.com/tuenti/secrets-manager](https://goreportcard.com/report/github.com/tuenti/secrets-manager) https://codecov.io/gh/tuenti/secrets-manager/branch/master/graph/badge.svg](https://codecov.io/gh/tuenti/secrets-manager)

镜像概述

secrets-manager是一款用于同步Vault密钥到Kubernetes密钥的工具，旨在解决两者作为密钥存储源时的一致性问题。它通过监控自定义资源定义（SecretDefinition）的变化，自动从Vault读取密钥并更新Kubernetes中的对应密钥，确保密钥状态一致。

核心功能

1. Vault认证与续期：采用AppRole认证方式登录Vault，自动续期token以维持连接稳定性。
2. CRD管理：通过SecretDefinition CRD定义同步规则，包括密钥名称、类型、Vault路径及编码方式。
3. 自动同步：定期检查SecretDefinition对象，对比Vault与Kubernetes密钥状态，自动创建或更新Kubernetes密钥。
4. 多引擎支持：兼容Vault的KV1和KV2密钥引擎（计划扩展更多引擎）。
5. 监控指标：暴露Prometheus指标，覆盖Vault token状态、同步错误等关键监控项。

使用场景

• 企业使用Vault作为统一密钥存储后端，同时需在Kubernetes集群中使用这些密钥的场景。
• 需要自动同步密钥，避免手动维护Kubernetes密钥的场景。
• 需要监控密钥同步状态及Vault连接健康度的场景。

配置说明

安装CRD

在Kubernetes集群中安装SecretDefinition CRD：

bash
kubectl apply -f crd.yaml

定义SecretDefinition

创建SecretDefinition对象指定同步规则：

yaml
apiVersion: secrets-manager.tuenti.io/v1alpha1
kind: SecretDefinition
metadata:
  name: secretdefinition-sample
spec:
  name: supersecretnew
  keysMap:
    decoded:
      path: secret/data/pathtosecret1
      encoding: base64
      key: value
    raw:
      path: secret/data/pathtosecret1
      key: value

部署该对象：

bash
kubectl apply -f secretdefinition-sample.yaml

关键参数

RBAC配置

• 全局管理：使用ClusterRole和ClusterRoleBinding，允许管理所有命名空间的密钥与SecretDefinition。
• 特定命名空间：在目标命名空间创建Role和RoleBinding，限制管理范围。

Vault配置

1. 创建策略：

hcl
path "secret/data/my-k8s-cluster/*" {
  capabilities = ["read"]
}

执行创建：

bash
cat my-policy.hcl | vault policy write my-policy -

2. 创建AppRole：

bash
vault write auth/approle/role/secrets-manager policies=my-policy secret_id_num_uses=0 secret_id_ttl=0
vault write -force auth/approle/role/secrets-manager/secret-id  # 获取secret_id
vault read auth/approle/role/secrets-manager/role-id  # 获取role_id

部署示例

Kubernetes Deployment示例：

yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: secrets-manager
spec:
  replicas: 1
  selector:
    matchLabels:
      app: secrets-manager
  template:
    metadata:
      labels:
        app: secrets-manager
    spec:
      serviceAccountName: secrets-manager
      containers:
      - name: secrets-manager
        image: docker.xuanyuan.run/tuentitech/secrets-manager:latest
        args:
        - --vault.url=https://vault.example.com
        - --vault.role-id=$(VAULT_ROLE_ID)
        - --vault.secret-id=$(VAULT_SECRET_ID)
        env:
        - name: VAULT_ROLE_ID
          valueFrom:
            secretKeyRef:
              name: vault-credentials
              key: role_id
        - name: VAULT_SECRET_ID
          valueFrom:
            secretKeyRef:
              name: vault-credentials
              key: secret_id

许可证

secrets-manager基于Apache License 2.0开源，详情见LICENSE文件。