当 vault 部署在专用集群上时，如何从另一个 kubernetes 集群访问 vault secret？

Question

我在 AWS 的同一区域中的同一 VPC 中创建了 2 个 kubernetes 集群。

第一个集群专门用于我的微服务。我们将其命名为“MS” 第二个专门用于保管库及其高可用性存储（consul）。我们把它命名为“V”

问题是如何从“MS”集群中的容器访问我在“V”集群中创建的秘密？

到目前为止我已经尝试过：

1. 我首先在“MS”集群中创建了一个新的服务帐户，该帐户使用审查令牌 API 进行身份验证。

2. 然后我必须从“MI”集群中提取令牌审查者 JWT、Kuberenetes CA 证书和 Kubernetes 主机

3. 然后我切换到“V”集群上下文以启用并创建一个附加到该服务帐户的新 kubernetes 身份验证方法。

从那里我不知道该怎么做，我不确定该方法在使用 2 个不同的集群时是否真的有效？

服务帐号：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: consul
  labels:
    app: consul
rules:
  - apiGroups: [""]
    resources:
      - pods
    verbs:
      - get
      - list
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: consul
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: consul
subjects:
  - kind: ServiceAccount
    name: consul
    namespace: default
---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: consul
  labels:
    app: consul

从“MI”集群导出令牌审查变量

export VAULT_SA_NAME=$(kubectl get sa postgres-vault -o jsonpath="{.secrets[*]['name']}")

export SA_JWT_TOKEN=$(kubectl get secret $VAULT_SA_NAME -o jsonpath="{.data.token}" | base64 --decode; echo)

export SA_CA_CRT=$(kubectl get secret $VAULT_SA_NAME -o jsonpath="{.data['ca\.crt']}" | base64 --decode; echo)

export K8S_HOST=$(kubectl exec consul-consul-0 -- sh -c 'echo $KUBERNETES_SERVICE_HOST')

创建 kubernetes 身份验证方法

vault auth enable kubernetes
vault write auth/kubernetes/config \
  token_reviewer_jwt="$SA_JWT_TOKEN" \
  kubernetes_host="https://$K8S_HOST:443" \
  kubernetes_ca_cert="$SA_CA_CRT"

我希望通过我的 micros 服务访问存储在保险库中的机密。虽然我不确定当保管库部署在专用集群中时该方法是否有效。

我想可能还有其他东西可以加入这两个集群？可能正在使用领事？

Answer 1

你占了 80%。接下来的步骤是： 1. 使用正确的服务帐户运行部署 2. 使用 Kubernetes 身份验证方法登录/验证 vault 并获取相关 vault 令牌。 3. 检索秘密。

这是将服务帐户添加到您的部署的示例：

apiVersion: apps/v1beta2
kind: Deployment
metadata:
  name: xxx
  labels:
    app: xxx
spec:
  replicas: 1
  template:
    metadata:
      ...
    spec:
      serviceAccountName: vault-auth
  ...

要使用 kube auth 登录，请参阅 here。我建议你看看这个project 的具体例子。

一旦您获得具有正确权限的令牌，您就可以使用 vault cli/rest api 访问机密。