如何在Kubernetes env vars中添加金库秘密？

Question

我正在使用oauth2-proxy使用外部OIDC提供商进行身份验证的Helm图表，以及存储库来存储秘密。现在，为了将其传递client-id＆amp; client-secret存储在保险库中的秘密，我遵循此链接 - https://www.vaultproject.io/docs/platform/k8s/inject/injementor/examples/examples#environment-varible-varible-example-example-a>

这表明如何在容器中添加这些秘密， ，但是oauth2-proxy需要这些变量首先启动（它们以args的形式传递给Docker Image的入口点）。我还尝试将源命令添加到PostStart生命周期方法，但这也会给出以下错误 -

Exec lifecycle hook ([sh -c source /vault/secrets/oidc.sh]) for Container "oauth2-proxy" in Pod "oauth2-proxy-f6c8f7b69-kgjws_istio-system(7e488c12-2964-496f-a658-47739fcf3695)" failed - error: command 'sh -c source /vault/secrets/oidc.sh' exited with 126: , message: "OCI runtime exec failed: exec failed: cannot exec a container that has stopped: unknown\r\n"

我认为这是因为Docker Image的入口点需要这些Env vars，并且该容器在该命令失败。还有其他方法吗？

Answer 1

这是一种使用 Vault Agent Injector 方法

首先，应创建一个模板，以将保险库秘密作为环境变量导出。

spec:   template:
    metadata:
      annotations:
        # Environment variable export template
        vault.hashicorp.com/agent-inject-template-config: |
          {{ with secret "secret/data/web" -}}
            export api_key="{{ .Data.data.payments_api_key }}"
          {{- end }}

并且应用程序容器应在启动过程中摘下这些文件。

args:
  ['sh', '-c', 'source /vault/secrets/config && <entrypoint script>']