在 Vault 中存储默认环境变量，而不是在 docker-compose 中存储标准服务的 env 文件

Question

我有一个docker-compose使用标准软件容器，例如：

• infuxdb
• mariadb
• -node-red

node 工业单板计算机（可能无法连接到Internet）

进行初始设置（堆叠堆栈），我通过其环境变量文件（例如incod> infuxdb.env ）传递了一些标准凭据（例如管理员凭据）代码> Mariadb.env

。

services:
  influxdb:
    image: influxdb:2.0
    env_file:
      - influxdb.env
  nodered:
    image: nodered/node-red:2.2.2
    env_file:
      - node-red.env

等

INFLUXDB_ADMIN_USER=admin
INFLUXDB_ADMIN_PASSWORD=password!#$2
# other env vars that might be crucial for initial stack boot up

在磁盘上，仍然很脆弱。我想了解Hashicorp保管库是否可以提供合理的解决方案，在该解决方案中，可以将这些凭据（秘密）存储为键值对，并在运行时提供给Docker-Compose服务。

我了解一个瓶颈，因为我使用了标准容器（现成的），并且它们可能没有保险库集成。但是，我仍然可以使用Vault存储ENV VAR并让服务在运行时访问它们吗？还是我必须为这些容器编写 side-cars ，然后让他们接受这些env var值？

Answer 1

这里有一些限制需要处理：

• 不将机密永久存储在存储
• docker-compose 命令行
• Vault 的输出格式

Docker Composer 可以从文件中读取其环境变量。我建议您创建该文件并使用 --env-file 参数将其提供给 docker-compose。

我可以想到两种写入该文件的方法：

1. 将多个 vault kv get 的输出以 NAME=VALUE 格式写入文件
2. 使用Vault代理的模板引擎

第一个选项非常简单。调用输出机密并将其发送到文件的函数：

#!/bin/bash

function write_vault_secret_to_env_file() {
    local ENVIRONMENT_VARIABLE_NAME=$1
    local SECRET_PATH=$2
    local SECRET_NAME=$3

    echo "$ENVIRONMENT_VARIABLE_NAME=$(vault kv get --field $SECRET_NAME $SECRET_PATH)"
}

echo "$(write_vault_secret_to_env_file FIRST_ENVIROMENT_VAR secret/my-path/things first-secret)" >> my-env-file.sh 
echo "$(write_vault_secret_to_env_file SECOND_ENVIROMENT_VAR secret/my-path/stuff second-secret)" >> my-env-file.sh 

Vault 代理的模板引擎 功能更强大，但设置更复杂。

另一个建议是使用 Vault 的动态机密数据库（支持 InfluxDB） 。但您需要为 Vault 提供数据库中的 DBA 权限。如果您每次都从头开始创建数据库，则可以设置 DBA 密码 dba-root，为 Vault 提供该密码，然后 指示它为您轮换。

Answer 2

类似于

1. 解决
2. 方案- 价值
3. 对docker-compose.yml从Shell的环境变量中填充值。参见

---

详细信息：

• 存储在金库中的KVS如下所示：

• 定义export_secrets（）函数>

export_secrets() {
  echo "Input data:"
  echo "$1"
  
  while read -r line; do
    key=$(echo $line | cut -d: -f1 | xargs)
    value=$(echo $line | cut -d: -f2 | xargs)

    echo "Parsed key-value pair: $key=$value"
    
    export $key="$value"
    
    echo "Exported environment variable: $(printenv "$key")"
  done
}

• 函数函数设置vault

vault kv get -format=yaml -field=data -mount=secret appsecrets_demo | export_secrets

• 通过通过验证它们echo $ database_password

  


• ，从shell

  代替

services:
  influxdb:
    image: influxdb:2.0
    environment:
      DATABASE_PASSWORD: '${DATABASE_PASSWORD}'

• 我用第二个Vault服务器验证了该解决方案。