HashiCorp金库填充kubernetes秘密

Question

最近，我了解了HashiCorp Vault及其与Kubernetes结合的用法。我发现了两篇非常棒的博客文章，关于如何通过使用init-container和共享卷(post1，post2)来使用HashiCorp Vault来动态生成cred。Kubernetes还提供了一种使用Kubernetes机密处理凭据的好方法，它还允许用户通过环境变量读取凭据。因此，它为秘密存储提供了一个很好的抽象。

我的问题是HashiCorp保险库也可以用来用凭据填充Kubernetes的秘密吗？如何实现？

Answer 1

正如@Rico提到的那样，暴露保险库和Kubernetes中的秘密首先就违背了使用保险库的目的。

使用Vault，数据被加密（Transity/REST)，您可以对谁可以访问哪些数据提供访问粒度控制。将Vault中的数据暴露给Kubernetes Secret对象（基本上仅限于base64编码）将在很大程度上挫败Vault的最大好处，即保护您的基础设施，并作为负责管理机密的单一实体。

Vault是一个很棒的工具，但在我看来，对于非开发人员配置来说，它可能会变得更加复杂，因为您将不得不附加像Consul这样的工具，这样您就可以拥有持久的后端存储，因此使用sidecar模式这样的体系结构分布式模式也可能是非常过度的，根本不建议使用。

• 但是有了它，您可以让一个vault实例“生活”在与您的“主”容器相同的Pod中，从而利用vault提供的加密服务，但是我们将vault的生命周期与Pod的生命周期绑定在一起。
• 使用这种方法，我们需要在每个Pod上有一个Vault实例，以防我们计划访问秘密信息，这只会使系统变得极其复杂。通过这种方法，我们可以在多个vault实例上分离每个对象所需的秘密信息，从而将基础结构的秘密信息传播到多个地方，但我们继续增加管理基础结构的挑战。

因此，我完全理解，试图找到一种方法来将豆荚所需的秘密信息放在它旁边可能看起来很诱人，特别是以一种简单的方式，但如果完全不加密，它肯定会失败。

解决了这一点，为什么不简单地创建一个Vault控制器，它将是负责与Vault交互的实体，并将负责查询Vault中包装的令牌，这些令牌可以在被pod中的init容器解包装后暂时提供对某些秘密信息的访问权？这是由于启动Pod需要额外的时间吗，因为我们需要执行一些早期调用来检索包装的令牌？或者ut是由于在需要从Vault查询机密数据时必须执行额外调用的额外延迟？

每当我想到集成Kubernetes和Vault的想法时，我通常倾向于想到下面由Kelsey Hightower创建的原型。