如何使用 helm 将秘密从金库获取到我的詹金斯配置作为代码安装？

Question

我想使用与JCASC一起部署Jenkins来获得保险库的秘密。我正在使用本地minikube来创建Mi K8群集和我的计算机中的本地Vault实例（不在k8 群集）。

即便如此，我正在尝试使用initcontainerenv和containerenv我无法达到保险库值。对于casc_vault_token值我正在使用Vault root令牌。 这是helm命令我在本地运行：

helm upgrade --install -f values.yml mijenkins jenkins/jenkins

这是我的values.yml文件代码：

controller:
  installPlugins:
    # need to add this configuration-as-code due to a known jenkins issue: https://github.com/jenkinsci/helm-charts/issues/595
  - "configuration-as-code:1414.v878271fc496f"
  - "hashicorp-vault-plugin:latest"

  # passing initial environments values to docker basic container
  initContainerEnv:
  - name: CASC_VAULT_TOKEN
    value: "my-vault-root-token"
  - name: CASC_VAULT_URL
    value: "http://localhost:8200"
  - name: CASC_VAULT_PATHS
    value: "cubbyhole/jenkins"
  - name: CASC_VAULT_ENGINE_VERSION
    value: "2"
  ContainerEnv:
  - name: CASC_VAULT_TOKEN
    value: "my-vault-root-token"
  - name: CASC_VAULT_URL
    value: "http://localhost:8200"
  - name: CASC_VAULT_PATHS
    value: "cubbyhole/jenkins"
  - name: CASC_VAULT_ENGINE_VERSION
    value: "2"

  JCasC:
    configScripts:
      here-is-the-user-security: |
        jenkins:
          securityRealm:
            local:
              allowsSignup: false
              enableCaptcha: false
              users:
                - id: "${JENKINS_ADMIN_ID}"
                  password: "${JENKINS_ADMIN_PASSWORD}"

在我的本地vault中，我可以看到/达到值值：

>vault kv get cubbyhole/jenkins
============= Data =============
Key                       Value
---                       -----
JENKINS_ADMIN_ID          alan
JENKINS_ADMIN_PASSWORD    acosta

你们中有人知道我会做错什么吗？

Answer 1

我没有将 Vault 与 jenkins 一起使用，所以我不太确定您的具体情况，但我非常熟悉 Jenkins helm 图表的挑剔程度，并且我能够通过创建一个来配置我的 securityRealm （使用 Google Login 插件） k8s 秘密首先包含所需的值：

kubectl create secret generic googleoauth --namespace jenkins \
  --from-literal=clientid=${GOOGLE_OAUTH_CLIENT_ID} \
  --from-literal=clientsecret=${GOOGLE_OAUTH_SECRET}

然后通过以下方式将这些值传递到 Helm Chart Values.yml：

controller:
  additionalExistingSecrets:
  - name: googleoauth
    keyName: clientid
  - name: googleoauth
    keyName: clientsecret

然后将它们读入 JCasC，如下所示：

...
  JCasC:
    configScripts:
      authentication: |
        jenkins:
          securityRealm:
            googleOAuth2:
              clientId: ${googleoauth-clientid}
              clientSecret: ${googleoauth-clientsecret}

为了使其正常工作，Values.yml 还需要包含以下设置：

serviceAccount:
  name: jenkins

rbac:
  readSecrets: true # allows jenkins serviceAccount to read k8s secrets

请注意，我我正在将 jenkins 作为命名空间 jenkins 中名为 jenkins 的 k8s 服务帐户运行

Answer 2

调试我的詹金斯安装后，我发现主要问题不是我的values.yml我的jcasc集成都不是我能够看到containerenv值，如果我进入我的内部Jenkins Pod with：

kubectl exec -ti mijenkins-0 -- sh

所以我需要曝光我的保险库服务器，以便我的詹金斯能够到达它，我使用了此 Vault教程实现它。简而言之，而不是使用普通：
Vault Server -DEV

我们需要使用的

vault server -dev -dev-root-token-id root -dev-listen-address 0.0.0.0:8200

：然后，我们需要导出一个环境变量，以使保险库CLI解决Vault Server。

export VAULT_ADDR=http://0.0.0.0:8200

之后，我们需要确定要重定向詹金斯ping的保险库地址，以便我们需要启动一个Minukube SSH会话：

minikube ssh

在此SSH会话中，检索Minikube主机的值。

$ dig +short host.docker.internal
192.168.65.2

检索值后，我们将检索保管服务器的状态以验证网络连接。

$ dig +short host.docker.internal | xargs -I{} curl -s http://{}:8200/v1/sys/seal-status

现在，我们可以将詹金斯吊舱与金库连接起来，我们只需要更改casc_vault_url在我们的主中使用http://192.168.65.2:8200。 yml这样的文件：

  - name: CASC_VAULT_URL
    value: "http://192.168.65.2:8200"