直接从 hashicorp 保险库的入口使用 TLS 秘密

Question

如何从 hashicorp 保险库检索 tls（ssl 证书）机密到入口？

我已经在 kube.netes (openstack) 中部署了一个微服务，入口为 nginx 和 hashicorp 保险库。 tls 密钥存储在 hashicorp 保险库中。 我创建了一个秘密提供者类：

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: sslspc
spec:
  provider: vault
  secretObjects:
  - secretName: sslspc
    data:
    - key: "tls.key"
      objectName: TLSKey
    - key: "tls.crt"
      objectName: TLSCert
    type: kubernetes.io/tls
  parameters:
    vaultAddress: http://vault.vault:8200
    roleName: "approle"
    objects:  |
      - objectName: TLSKey
        secretPath: "secret/data/myssl"
        secretKey: "tls.key"
      - objectName: TLSCert
        secretPath: "secret/data/myssl"
        secretKey: "tls.crt"

但不能直接在ingress中使用。 我必须创建一个 pod，它正在创建一个卷并将它 map 到一个环境：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: depssl
  labels:
    app: appbusy
spec:
  replicas: 1
  selector:
    matchLabels:
      app: appbusy
  template:
    metadata:
      labels:
        app: appbusy
    spec:
      serviceAccountName: mysa
      containers:
      - name: appbusy
        image: busybox
        imagePullPolicy: IfNotPresent
        command: ["/bin/sh"]
        args: ["-c", "while true; do sleep 300;done"]
        env:
        - name: TLS.KEY
          valueFrom:
            secretKeyRef:
              name: sslspc
              key: tls.key
        - name: TLS.CRT
          valueFrom:
            secretKeyRef:
              name: sslspc
              key: tls.crt
        volumeMounts:
        - name: sslspc
          mountPath: "/mnt/secrets-store"
          readOnly: true
      volumes:
      - name: sslspc
        csi:
          driver: secrets-store.csi.k8s.io
          readOnly: true
          volumeAttributes:
            secretProviderClass: "sslspc"
        

在此之后我可以在我的入口中使用它：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: myingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  ingressClassName: nginx
  tls:
  - hosts:
    - example.com
    secretName: sslspc
  rules:
  - host: example.com
    http:
      paths:
        - pathType: Prefix
          path: /
          backend:
            service:
              name: myservice
              port:
                number: 80
            

是否可以在不创建用于映射目的的额外 pod 的情况下检索入口中的秘密？

Answer 1

您可以使用 vault 注入器使用注释注入秘密，例如

  annotations:
    vault.hashicorp.com/agent-inject: 'true'
    vault.hashicorp.com/agent-configmap: 'my-configmap'
    vault.hashicorp.com/tls-secret: 'vault-tls-client'

但是要使用这些注解，你需要在集群中设置注入器机制。 有关完整设置和一些示例，请参阅这些官方文档。 文件1 文件 2 。

尝试本教程以了解有关保险库注入器的更多信息。