wealthwizardsengineering/kube-vault-auth-renewer

Kubernetes Vault Auth Renewer Docker镜像

本Docker镜像旨在为Kubernetes Pod的整个生命周期内，保持Vault认证令牌和密钥租约的有效性。它应作为sidecar容器运行，适用于那些不感知Vault、仅在启动时注入密钥且无法动态更新的服务容器，允许公共Docker镜像无需修改即可与Vault集成。

Vault的设计原则是确保密钥仅在需要时可用，因此大多数Vault密钥引擎（如Consul Secrets Engine）会在一段时间（TTL）后吊销已发放的密钥，以限制密钥泄露后的使用窗口。密钥可通过续期避免过期，但这是一个持续过程。本镜像作为同一Pod内的sidecar，定期检查认证令牌和密钥租约是否需要续期，并在必要时执行续期操作，确保密钥在Pod生命周期内始终有效。Pod终止后，认证令牌和密钥将自然过期。

本镜像可与https://github.com/WealthWizardsEngineering/kube-vault-auth-init%E9%95%9C%E5%83%8F%E9%85%8D%E5%90%88%E4%BD%BF%E7%94%A8%EF%BC%8C%E5%90%8E%E8%80%85%E8%B4%9F%E8%B4%A3%E5%90%91Vault%E8%AE%A4%E8%AF%81%E5%B9%B6%E6%8F%90%E4%BE%9B%E5%B0%86%E5%AF%86%E9%92%A5%E6%B3%A8%E5%85%A5%E6%9C%8D%E5%8A%A1%E5%AE%B9%E5%99%A8%E7%9A%84%E6%9C%BA%E5%88%B6%E3%80%82

前提条件

该容器需要一个有效的Vault认证令牌作为环境变量，且其TTL需与本容器的续期间隔相匹配。

配置说明

必选环境变量

• VAULT_ADDR：Vault服务器的URL

可选环境变量

• RENEW_INTERVAL：检查租约的间隔秒数，默认值为6小时

共享卷相关变量（与init容器配合时）

若使用Kubernetes Vault Auth Init初始化容器，以下变量将从/env/variables读取（需在init容器与本容器间挂载共享卷到/env路径）：

• VAULT_TOKEN：用于续期的Vault认证令牌
• LEASE_IDS：逗号分隔的租约ID列表，例如consul/creds/my-role/619ceafd-9968-b338-2d3e-93c987654321,consul/creds/my-role/619ceafd-9968-b338-2d3e-93c123456789

TTL与续期间隔

为避免认证令牌或密钥过期，需确保其TTL超过续期间隔加上一定 tolerance。建议将TTL设置为至少2-3倍的RENEW_INTERVAL。此外，租约创建时间的微小差异可能导致需多等待一个周期才续期，因此应避免TTL在续期周期前几秒过期的情况。

Kubernetes部署示例

以下示例展示了如何结合Kubernetes Vault Auth Init容器和本sidecar容器部署应用：

yaml
apiVersion: v1
kind: ServiceAccount
metadata:
  name: my-app-service-account
---
kind: Deployment
apiVersion: extensions/v1beta1
metadata:
  name: my-app
spec:
  template:
    metadata:
      labels:
        app: my-app
        tier: backend
    spec:
      serviceAccountName: my-app-service-account
      volumes:
      - name: shared-data
        emptyDir: {}
      initContainers:
      - name: vault-init
        image: wealthwizardsengineering/kube-vault-auth-init
        env:
        - name: KUBERNETES_AUTH_PATH
          value: "kubernetes"
        - name: VAULT_ADDR
          value: "[***]"
        - name: VAULT_LOGIN_ROLE
          value: "my-app-role"
        - name: SECRET_SOME_SECRET
          value: "secret/from/somewhere"
        volumeMounts:
        - name: shared-data
          mountPath: /env
      containers:
      - name: vault-renewer
        image: wealthwizardsengineering/kube-vault-auth-renewer
        env:
        - name: VAULT_ADDR
          value: "[***]"
        volumeMounts:
        - name: shared-data
          mountPath: /env
      - name: my-app
        image: my-app
        command: ["/bin/sh", "-c", "source /env/variables; ./run-my-app.sh"]
        volumeMounts:
        - name: shared-data
          mountPath: /env