HashiCorp Vault 是一个基于身份的 Secret 和加密管理系统。Secret 是您想要严格控制访问的内容，例如 API 加密密钥、密码或证书。Vault 提供由身份验证和授权方法控制的加密服务。使用 Vault 的 UI、CLI 或 HTTP API，可以安全地存储和管理对机密和其他敏感数据的访问、严格控制和可审计。目前的系统需要访问大量 Secret：数据库凭据、外部服务的 API 密钥、面向服务的架构通信的凭据等。了解谁在访问哪些机密已经非常困难。如果没有自定义解决方案，几乎不可能安全存储和详细审计。这就是 Vault 的用武之地。我们可以使用官方 HashiCorp Vault Helm Chart 将 Vault 部署到 Kubernetes 中。https://github.com/hashicorp/Vault-helmHelm Chart 允许用户以各种配置部署 Vault：

• Dev：用于测试 Vault 的单个内存 Vault 服务器
• 独立（默认）：单个 Vault 服务器使用文件存储后端持久保存到卷
• 高可用性 (HA)：使用 HA 存储后端（如 Consul）的 Vault 服务器集群（默认）
• 外部：依赖于外部 Vault 服务器的 Vault Agent Injector 服务器

下面将使用 Helm 部署 Vault，以下是步骤概述：

• 下载 Vault Helm Chart
• 修改 values.yaml， 用 Nodeport 暴露 Vault UI Service
• 安装 Vault
• 避坑指南

安装

下载 Chart 包

添加仓库：

helm repo add hashicorp https://helm.releases.hashicor

搜索可用的安装包版本：

# helm search repo hashicorp/Vault -l
NAME            CHART VERSION   APP VERSION     DESCRIPTION
hashicorp/Vault 0.19.0          1.9.2           Official HashiCorp Vault Chart
........

拉取最新版本的 Chart 包到本地：

helm fetch hashicorp/Vault
tar -zxf Vault-0.19.0.tgz
cd Vault/

修改 values.yaml

编辑 values.yaml 文件，修改访问 Vault UI 的配置：

• enable ui
• 将activeVaultPodOnly的值设为true
• 将 serviceType 更改为 NodePort
• 将 serviceNodePort 端口号改为 30000

# Vault UI
ui:
  # True if you want to create a Service entry for the Vault UI.
  #
  # serviceType can be used to control the type of service created. For
  # example, setting this to "LoadBalancer" will create an external load
  # balancer (for supported K8S installations) to access the UI.
  enabled: true
  publishNotReadyAddresses: true
  # The service should only contain selectors for active Vault pod
  activeVaultPodOnly: true
  serviceType: "NodePort"
  serviceNodePort: 30000
  externalPort: 8200
  targetPort: 8200

执行安装

基于修改后的 values.yaml，执行安装命令：

helm install -f values.yaml Vault --namespace Vault . --create-namespace
或者
helm install -f values.yaml Vault hashicorp/Vault --namespace Vault --version 0.19.0  --create-namespace

检查 pod、svc 是否正常：

# k get pod -n Vault
NAME                                   READY   STATUS    RESTARTS   AGE
Vault-0                                1/1     Running   0          11m
Vault-agent-injector-f96b59db4-4855j   1/1     Running   0          11m

# k get svc -n Vault
NAME                       TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)             AGE
Vault                      ClusterIP   10.233.61.235    <none>        8200/TCP,8201/TCP   11m
Vault-agent-injector-svc   ClusterIP   10.233.32.31     <none>        443/TCP             11m
Vault-internal             ClusterIP   None             <none>        8200/TCP,8201/TCP   11m
Vault-ui                   NodePort    10.233.145.124   <none>        8200:30000/TCP      11m

避坑指南

Vault-0 一直 NotReady，通过 get pod 命令进行查看。

$ k get pod -n Vault
NAME                                   READY   STATUS    RESTARTS   AGE
Vault-0                                0/1     Running   0          1m
Vault-agent-injector-f96b59db4-4855j   1/1     Running   0          1m

检查日志：

$ k logs -f Vault-0 -n Vault
│ 2022-05-18T03:37:03.330Z [INFO]  core: security barrier not initialized           
│ 2022-05-18T03:37:03.330Z [INFO]  core: seal configuration missing, not initialized

describe 看到下面的输出：

............
   Warning  Unhealthy  2m19s (x57 over 6m41s)  kubelet            Readiness probe failed: Key                Value              
│ Seal Type          shamir                          
│ Initialized        false                            
│ Sealed             true                          
│ Total Shares       0                              
│ Threshold          0                             
│ Unseal Progress    0/0                               
│ Unseal Nonce       n/a                             
│ Version            1.9.2                          
│ Storage Type       file                             
│ HA Enabled         false

这个问题是：尚未初始化和解封 Vault。自身没有自动初始化机制，需要执行下面的操作。参见下面的 issue：
https://github.com/hashicorp/Vault-helm/issues/17

初始化 Vault

要解封 Vault，我们需要初始化 Vault，该操作将输出一些将用于解封 Vault 的 Unseal 密钥。保存Unseal Key和Initial Root Token，下面要用到：

$ k exec -ti Vault-0 -n Vault -- Vault operator init
Unseal Key 1: 84EQZ9v8EOsboZ2sakjWkaladYg3Kc6cMSR3SaTXjlnQ
Unseal Key 2: ljJlqqERDSjWkaladIcaNlpBUOELKJtZhb9zDwzV/GiL
Unseal Key 3: Cxi+JEpUs1aDR/XcjWadM/sK+xXbIXlYjck9o/5Bifw9
Unseal Key 4: 291rLn8XMsLIOKjWka6/7dBlzfIad830g0wcgEoOUx7X
Unseal Key 5: TqDLJkpE6NTsIyKVwjaWkaladO5B70LntD8o06x95l7Z

Initial Root Token: s.mCOZiIHkRLopQsMOS1bd5ZJ
............

Vault 初始化为 5 个 Key，密钥阈值为 3。使用上面 Key 解封 Vault，需要达到阈值：

 $ k exec -ti Vault-0 -n Vault -- Vault operator unseal
 $ k exec -ti Vault-0 -n Vault -- Vault operator unseal
 $ k exec -ti Vault-0 -n Vault -- Vault operator unseal

在提示符下每次粘贴不同的 Key。下面是解封 Vault 后的输出：

Unseal Key (will be hidden):
Key                Value
---                -----
Seal Type          shamir
Initialized        true
Sealed             true
Total Shares       5
Threshold          3
Unseal Progress    1/3
Unseal Nonce       9hl41a94-f15f-125d-04e5-edbd026cfc44
Version            1.9.2
Storage Type       file
HA Enabled         false

现在检查 Vault-0，应该为 READY 1/1。

 $ k get pod -n Vault
NAME                                   READY   STATUS    RESTARTS   AGE
Vault-0                                1/1     Running   0          11m
Vault-agent-injector-f96b59db4-4855j   1/1     Running   0          11m

登录 Vault UI

在 Nodeport 服务中配置的 30000 端口上打开 UI:
http://{HostIP}:30000/ui/Vault/auth?with=token

使用Token登录，需要使用到上面获得到的Initial Root Token：

总结

本文实践了如何在 Kubernetes 中使用 Helm 部署 HashiCorp Vault。下面是一些常用场景：

• 使用在 Kubernetes 中运行的 Vault 服务的应用程序可以使用不同的 secrets 引擎^[1] 和 身份验证方法^[2] 从 Vault 访问和存储秘密。
• 使用在 Kubernetes 中运行的 Vault 服务的应用程序可以利用Transit 秘密引擎^[3] 作为“加密即服务”。这允许应用程序在存储静态数据之前将加密需求发送到 Vault。
• 管理员可以给 Vault 挂载持久卷，该卷可用于存储 审计日志^[4]。

Vault 可以直接在 Kubernetes 上运行，因此除了 Vault 本身提供的原生集成之外，为 Kubernetes 构建的任何其他工具都可以选择利用 Vault。

• Vault on Kubernetes Reference Architecture^[5]提供了在生产环境 Kubernetes 上运行 Vault 的最佳实践。
• Vault on Kubernetes Security Considerations^[6]提供了特定于在生产 Kubernetes 环境中安全运行 Vault 的建议。