在 Kubernetes YAML 中使用 Vault Secret

Question

我有一个包含以下内容的 secret.yaml 文件，但我想从 Hashicorp Vault 获取秘密。 这个 secret.yaml 基本上是使用 Okta 为我的应用程序设置 OAuth 的特使配置。

如何从 Vault 中获取机密信息到我的 YAML 中？ 任何人都可以在这里帮助我。

秘密.yaml

resources:
  - name: token
    generic_secret:
      secret:
        inline_bytes: "<my_token_secret>"

Answer 1

没有内置的方法，但是有一个漂亮的工具叫做external-secrets 。

它基本上是这样工作的。 一旦你设置了保险库，你就可以安装 external-secrets。 然后，您创建一个SecretStore （仅适用于其自己的命名空间中的秘密）或ClusterSecretStore （可以在集群范围内创建秘密）。 现在，您创建一个名为ExternalSecret的 CR，它在您的 Vault 中引用 KV 路径和属性：

apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: vault-example
spec:
  refreshInterval: "15s"
  secretStoreRef:
    name: vault-backend
    # Or ClusterSecretStore, depending on your setup
    kind: SecretStore
  target:
    name: example-sync
  data:
  - secretKey: username
    remoteRef:
      key: /secrets/dev
      property: user
  - secretKey: password
    remoteRef:
      key: /secrets/dev
      property: password

这将创建一个秘密：

kind: Secret
metadata:
  name: example-sync
data:
  username: ...
  password: ...

hth