DEV Community
·
如何在 Kubernetes 上设置 HashiCorp Vault
💡
原文英文，约1600词，阅读约需6分钟。
📝
内容提要
Vault by HashiCorp 是一款强大的秘密管理工具。本文介绍了如何在 Kubernetes 上设置 Vault，并通过 External Secrets 安全管理应用程序的秘密。步骤包括添加 Helm 仓库、安装和初始化 Vault、添加秘密、安装 External Secrets 以及配置 Vault 的访问权限，最后通过 Ingress 实现 Vault 的外部访问，以确保秘密的安全管理。
🎯
关键要点
- Vault by HashiCorp 是一款强大的秘密管理工具。
- 在 Kubernetes 上设置 Vault 的步骤包括：添加 Helm 仓库、安装和初始化 Vault、添加秘密、安装 External Secrets、配置访问权限。
- 确保有一个运行中的 Kubernetes 集群，已安装并配置 kubectl 和 Helm。
- 添加 HashiCorp Helm 仓库并更新本地 Helm 图表索引。
- 使用 Helm 安装 Vault，并确保创建命名空间。
- 初始化 Vault 以生成解封密钥和初始根令牌，并安全存储这些令牌。
- 使用生成的解封密钥解封 Vault，使其可操作。
- 使用初始根令牌登录 Vault。
- 启用 KV（键值）引擎以组织秘密。
- 向 Vault 添加秘密，使用键值对表示。
- 安装 External Secrets 以将 Vault 的秘密同步到 Kubernetes 原生秘密。
- 创建 Kubernetes 秘密以存储 Vault 令牌，供 External Secrets 认证使用。
- 配置 External Secrets 以访问 Vault，创建 ClusterSecretStore 资源。
- 创建 ExternalSecret 资源以将 Vault 秘密同步到 Kubernetes 秘密。
- 使用 Ingress 通过 Traefik 将 Vault 暴露给外部访问。
- 确保 Traefik 已部署并运行，创建 IngressRoute 资源以暴露 Vault。
- 更新 DNS 或 hosts 文件以指向 Traefik LoadBalancer 的外部 IP。
- 可选：为生产环境配置 HTTPS 以确保安全通信。
- 成功设置 HashiCorp Vault，集成 External Secrets 以实现安全的秘密管理。
❓
延伸问答
在 Kubernetes 上设置 HashiCorp Vault 的前提条件是什么？
需要一个运行中的 Kubernetes 集群，已安装并配置 kubectl 和 Helm。
如何在 Kubernetes 中安装 HashiCorp Vault？
使用 Helm 命令安装 Vault：$ helm install vault hashicorp/vault -n vault --create-namespace。
Vault 如何管理秘密？
Vault 使用 KV（键值）引擎来组织和存储秘密，用户可以通过键值对的方式添加秘密。
什么是 External Secrets，它的作用是什么？
External Secrets 是一个工具，用于将外部秘密管理系统（如 HashiCorp Vault）的秘密同步到 Kubernetes 原生秘密。
如何通过 Ingress 将 Vault 暴露给外部访问？
创建 IngressRoute 资源，并确保 Traefik 已部署，更新 DNS 或 hosts 文件以指向 Traefik 的外部 IP。
在生产环境中，如何确保 Vault 的安全通信？
建议为 Ingress 配置 HTTPS，使用 TLS 证书以确保安全通信。
🏷️
标签
➡️
