docker-kaniko 无法识别 vault-secrets-provider 别名

Question

我在尝试将 Hashicorp 保险库模板（kubernetes 与 Google Kubernetes Engine）与 to.be.continuous 一起使用时遇到了一些问题。

实际上，当我将它与 Google Docker Kaniko 层一起使用时，我收到一条错误消息：... wget: bad address 'vault-secrets-provider'。

Kaniko 似乎无法识别 vault-secrets-provider 层。你能帮我解决这个问题吗？或者，我可以在哪里寻求帮助？

这是.gitlab-ci.yml的总结

  # Kubernetes template
  - project: 'to-be-continuous/kubernetes'
    ref: '2.0.4'
    file: '/templates/gitlab-ci-k8s.yml'
  - project: "to-be-continuous/kubernetes"
    ref: "2.0.4"
    file: "templates/gitlab-ci-k8s-vault.yml"
...

  K8S_DEFAULT_KUBE_CONFIG: "@url@http://vault-secrets-provider/api/secrets/noprod?field=kube_config"


  VAULT_BASE_URL: "http://myvault.myserver.com/v1"

错误信息：

[ERROR] Failed getting secret K8S_DEFAULT_KUBE_CONFIG:
... wget: bad address 'vault-secrets-provider'

我在没有Vault层的情况下直接尝试了很多次并且Kaniko工作正常，我的意思是没有Vault Secret。

我怎样才能做到这一点？我尝试修改 kaniko 模板，但没有成功。

我将不胜感激。

Answer 1

要解决您的问题，请先将 docker 模板升级到最新版本（在撰写此回复时为2.3.0）。

然后根据您的情况，您有 2 个选项：

1. Docker 需要处理一些由 Vault 管理的机密：然后您还应该为 Docker 激活 Vault 变体，
2. Docker 不需要处理任何由 Vault 管理的秘密：不要为 Docker 使用 Vault 变体，你会收到来自 Docker 无法解码秘密的警告消息（基本上和你有，但没有失败），

您只需在.gitlab-ci.yml 文件中使用它：

include:
  # Docker template
  - project: 'to-be-continuous/docker'
    ref: '2.3.0'
    file: '/templates/gitlab-ci-docker.yml'
  # Vault variant for Docker (depending on your above case)
  - project: 'to-be-continuous/docker'
    ref: '2.3.0'
    file: '/templates/gitlab-ci-docker-vault.yml'
  # Kubernetes template
  - project: 'to-be-continuous/kubernetes'
    ref: '2.0.4'
    file: '/templates/gitlab-ci-k8s.yml'
  - project: "to-be-continuous/kubernetes"
    ref: "2.0.4"
    file: "/templates/gitlab-ci-k8s-vault.yml"

  K8S_DEFAULT_KUBE_CONFIG: "@url@http://vault-secrets-provider/api/secrets/noprod?field=kube_config"


  VAULT_BASE_URL: "http://myvault.myserver.com/v1"