GCP KMS的汽车拱顶

Question

我想使用GCP KMS使用自动关键保险库机制。

我一直在关注此（部分：'Google KMS自动启动'）并应用官方具有以下值：

global:
  enabled: true

server:
  logLevel: "debug"
  injector:
    logLevel: "debug"
  extraEnvironmentVars:
    GOOGLE_REGION: global
    GOOGLE_PROJECT: ESGI-projects
    GOOGLE_APPLICATION_CREDENTIALS: /vault/userconfig/kms-creds/credentials.json

  extraVolumes:
    - type: 'secret'
      name: 'kms-creds'

  ha:
    enabled: true
    replicas: 3
    raft:
      enabled: true
    config: |
      ui = true

      listener "tcp" {
        tls_disable = 1
        address = "[::]:8200"
        cluster_address = "[::]:8201"
      }

      seal "gcpckms" {
        project     = "ESGI-projects"
        region      = "global"
        key_ring    = "gitter"
        crypto_key  = "vault-helm-unseal-key"
      }

      storage "raft" {
        path = "/vault/data"
      }

我已经创建了一个使用JSON凭据的服务帐户的KMS-CREDS（我尝试使用Cloud KMS服务代理和所有者角色，但它们都没有工作。

以下是密钥在我的钥匙戒指中：

的群集只是

在Vault服务器的第一个复制品上

我 创建的本地群集。 /I.SSTATIC.NET/QYG2Z.PNG“ rel =” nofollow noreferrer“>

另外两个人收到了正常消息，声称保管库已密封：

有什么想法可能是什么问题？我应该为每个复制品创建一个密钥吗？

Answer 1

好吧，我已经成功地用自动启动设置了保险库！
我做了什么：

• 更改项目（需要ID，而不是名称）

• 我禁用RAFT（raft.enabled：false））

• 我将后端移至Google Cloud Storage，添加到配置：

storage "gcs" {
        bucket = "gitter-secrets"
        ha_enabled    = "true"
}

ha_enabled = true是强制性的（带有区域存储桶）

我的最终头盔值是：

global:
  enabled: true

server:
  logLevel: "debug"
  injector:
    logLevel: "debug"
  extraEnvironmentVars:
    GOOGLE_REGION: global
    GOOGLE_PROJECT: esgi-projects-354109
    GOOGLE_APPLICATION_CREDENTIALS: /vault/userconfig/kms-creds/credentials.json
  extraVolumes:
    - type: 'secret'
      name: 'kms-creds'

  ha:
    enabled: true
    replicas: 3
    raft:
      enabled: false
    config: |
      ui = true

      listener "tcp" {
        tls_disable = 1
        address = "[::]:8200"
        cluster_address = "[::]:8201"
      }

      seal "gcpckms" {
        project     = "esgi-projects-354109"
        region      = "global"
        key_ring    = "gitter"
        crypto_key  = "vault-helm-unseal-key"
      }

      storage "gcs" {
        bucket = "gitter-secrets"
        ha_enabled    = "true"
      }

使用具有权限的服务帐户：

• Cloud KMS Cryptokey Encrypter/decrypter
• Storage gitter-secrets上的对象管理员的权限起初

，我首先只有一个问题，即可运行Vault Operator Init需要的Vault-0。尝试了几件事（后安装钩子）并回到初始状态后，Pod正常启动而没有任何操作。