Jak wdrożyć HashiCorp Vault w Kubernetes bez pisania mnóstwa manifestów YAML

Każdy, kto próbował ręcznie skonfigurować HashiCorp Vault w klastrze Kubernetes, pamięta żmudne składanie Deployments, StatefulSets, ConfigMaps, sekretów TLS i kontenerów sidecar. Jedno źle wcięcie w pliku YAML — i twoje aplikacje tracą dostęp do baz danych.

Oficjalny wykres vault-helm rozwiązuje ten problem. Inżynierowie HashiCorp spakowali wdrożenie menedżera sekretów w jeden wykres obejmujący wszystko — od lokalnego środowiska deweloperskiego po rozproszony klaster HA.

Dlaczego w ogóle warto używać tego wykresu?

Repozytorium stało się standardem uruchamiania Vault w Kubernetes. Nie musisz pisać specyfikacji podów od zera ani wymyślać, jak zamontować storage dla wbudowanego konsensusu Raft. Ustawienia są już wbudowane w plik konfiguracyjny values.yaml.

Narzędzie jest przydatne dla inżynierów DevOps i administratorów systemów, którzy organizują przechowywanie sekretów w swojej infrastrukturze. Jeśli twoje usługi potrzebują kluczy API, danych logowania do baz danych lub certyfikatów TLS, wykres pomaga wdrożyć niezawodnego vaulta w ciągu kilku minut.

Najważniejsze funkcje

Twórcy wykresu przewidzieli główne przypadki użycia:

• Szybkie przełączanie między trybami pracy Możesz przełączyć instancję z trybu standalone na odporny na awarie klaster za pomocą parametrów konfiguracyjnych. Do testów lokalnych wystarczy minimalny plik values, natomiast środowiska produkcyjne włączają wbudowany Raft lub zewnętrzną bazę danych.

• Wstrzykiwanie sekretów przez Vault Agent Injector Twoja aplikacja nie musi już wiedzieć, jak pracować z REST API vaulta. Injector automatycznie dodaje kontener sidecar do poda. Ten kontener pobiera sekrety i zapisuje je w lokalnym systemie plików poda. Aplikacja odczytuje dane z pliku bez żadnej interakcji z siecią Vault.

• Uwierzytelnianie przez Kubernetes Auth Engine Wykres integruje się z mechanizmem autoryzacji Kubernetes. Vault weryfikuje konta serwisowe podów i dostarcza sekrety tylko autoryzowanym aplikacjom.

• Separacja komponentów Możesz wdrożyć stronę serwerową, agentów i injector oddzielnie. Pozwala to przenieść serwer Vault poza główną aplikację lub uruchamiać tylko lekkie agenty na węzłach roboczych.

Jak wdrożyć Vault

Będziesz potrzebować działającego klastra Kubernetes w wersji 1.29 lub nowszej oraz zainstalowanego Helm w wersji 3.6+. Skonfigurowanie podstawowej instancji release zajmuje zaledwie dwa polecenia:

helm repo add hashicorp https://helm.releases.hashicorp.com
helm install vault hashicorp/vault

W prawdziwym środowisku standardowe ustawienia zazwyczaj nie wystarczą. Będziesz potrzebować niestandardowego pliku parametrów, na przykład custom-values.yaml:

server:
  ui:
    enabled: true
  dataStorage:
    enabled: true
    size: 10Gi

injector:
  enabled: true

Wdróż wykres z zebranymi parametrami:

helm install vault hashicorp/vault -f custom-values.yaml

Następnie wystarczy uzyskać dostęp do działającego poda, uruchomić polecenie vault operator init i odblokować vault.

Uwagi operacyjne

Plik konfiguracyjny values.yaml zawiera setki opcji. Zrozumienie ich za pierwszym razem może być trudne, więc przygotuj się na poświęcenie czasu na lekturę oficjalnej dokumentacji.

Drugi punkt dotyczy odblokowywania vaulta po restarcie. Domyślnie Vault uruchamia się w stanie sealed. W przypadku użycia produkcyjnego lepiej od razu skonfigurować Auto-Unseal przez usługi chmurowe KMS, w przeciwnym razie będziesz musiał ręcznie wprowadzać klucze po każdym awarii poda.

Dla kogo jest to narzędzie

Jeśli pracujesz z Kubernetes i planujesz wdrożyć scentralizowane zarządzanie sekretami, ten wykres zaoszczędzi ci tygodnie pracy nad własnymi manifestami.

Zacznij od wdrożenia instancji testowej w izolowanym namespace. Spróbuj dodać adnotacje injector do prostej testowej aplikacji i zobacz, jak sekrety trafiają do kontenera bez żadnych zmian w twoim kodzie źródłowym.