与gitlab的金库集成并在gitlab-ci.yaml中定义

Question

我尝试集成金库和 gitlab 。

vault 的一侧还可以，我试图在我们的 gitlab-ci.yaml 中找到保险库，但我感到困惑。

vault 在 yaml 中的位置在哪里？

我们使用 gitlab ee （社区）。

我们的 yaml ：

.kaniko-build:
  stage: build
  before_script:
    - mkdir -p /kaniko/.docker
    - |
      cat <<EOF > /kaniko/.docker/config.json
        {
          "auths":{
            "${CI_REGISTRY}":{
              "auth":"$(printf "%s:%s" "${CI_REGISTRY_USER}" "${CI_REGISTRY_PASSWORD}" | base64 | tr -d '\n')"
            },
            "https://index.docker.io/v1/":{
              "auth":"$(printf "%s:%s" "${DOCKERHUB_USERNAME}" "${DOCKERHUB_PASSWORD}" | base64 | tr -d '\n')"
            }
          }
        }
      EOF
    - cat /kaniko/.docker/config.json
  script:
    - >-
      /kaniko/executor
      --context "${CI_PROJECT_DIR}"
      --dockerfile "${DOCKERFILE_PATH}"
      --destination "${CI_REGISTRY_IMAGE}:${CI_PIPELINE_IID}"
      --destination "${CI_REGISTRY_IMAGE}:latest"
      --cache
    - echo $(date) $(date)
  image:     
    name: gcr.io/kaniko-project/executor:v1.8.0-debug
    entrypoint: [""]

test-build:
  extends: .kaniko-build
  when: manual
  variables:
    DOCKERFILE_PATH: "devops/test/Dockerfile"
  
  rules:
    - if: $CI_COMMIT_BRANCH
      exists:
        - devops/test/Dockerfile
  interruptible: true

Answer 1

如果您还没有这样做，则首先需要为JWT身份验证配置Vault。

vault auth enable -path=jwt/gitlab jwt

然后使用引用您的gitlab实例的令牌验证端点配置新的JWT auth。

vault write auth/jwt/config \
jwks_url="https://gitlab.example.com/-/jwks" \
bound_issuer="gitlab.example.com"

现在，在您的gitlab-ci.yml中，登录到保险库。

- export VAULT_ADDR="https://gitlab.example.com"
- export VAULT_TOKEN="$(vault write -field=token auth/jwt/gitlab/login role=SOME_ROLE_NAME jwt=$CI_JOB_JWT)"

接下来在您的gitlab-ci.yml中，取回秘密。

- export EXAMPLE_SECRET="$(vault kv get -field=EXAMPLE_SECRET_KEY kv-v2/example/secret/path)"

这一切都在官方的Gitlab文档在这里详细介绍。