我正在尝试探索Vault Enterprise，但当我使用Vault Enterprise时，Sidecar的权限被拒绝，但当我尝试使用本地Vault服务器时，似乎工作正常。
这是包含本地保管库的工作示例的存储库保险库边车注射器应用程序 https://github.com/Adiii717/vault-sidecar-injector-app
保险库配置
export VAULT_ADDR="https://vault-cluster.vault.c1c633fa-91ef-4e86-b025-4f31b3f14730.aws.hashicorp.cloud:8200"
export VAULT_NAMESPACE="admin"
#install agent
helm upgrade --install vault hashicorp/vault --set "injector.externalVaultAddr=$VAULT_ADDR"
vault auth enable kubernetes
# get certs & host
VAULT_HELM_SECRET_NAME=$(kubectl get secrets --output=json | jq -r '.items[].metadata | select(.name|startswith("vault-token-")).name')
TOKEN_REVIEW_JWT=$(kubectl get secret $VAULT_HELM_SECRET_NAME --output='go-template={{ .data.token }}' | base64 --decode)
KUBE_CA_CERT=$(kubectl config view --raw --minify --flatten --output='jsonpath={.clusters[].cluster.certificate-authority-data}' | base64 --decode)
KUBE_HOST=$(kubectl config view --raw --minify --flatten --output='jsonpath={.clusters[].cluster.server}')
# set Kubernetes config
vault write auth/kubernetes/config \
token_reviewer_jwt="$TOKEN_REVIEW_JWT" \
kubernetes_host="$KUBE_HOST" \
kubernetes_ca_cert="$KUBE_CA_CERT" \
issuer="https://kubernetes.default.svc.cluster.local" \
disable_iss_validation="true" \
disable_local_ca_jwt="true"
vault auth enable approle
# create admin policy
vault policy write admin admin-policy.hcl
vault write auth/approle/role/admin policies="admin"
vault read auth/approle/role/admin/role-id
# generate secret
vault write -f auth/approle/role/admin/secret-id
#Enable KV
vault secrets enable -version=2 kv
I can see the role and policy
管理政策
这是企业的管理政策
path "*" {
capabilities = ["create", "read", "update", "delete", "list", "sudo"]
}
部署 helm 脚本
这是部署脚本，尝试过hcp-root根政策但没有运气
RELEASE_NAME=demo-managed
NAMESPACE=default
ENVIRONMENT=develop
export role_id="f9782a53-823e-2c08-81ae-abc"
export secret_id="1de3b8c5-18c7-60e3-24ca-abc"
export VAULT_ADDR="https://vault-cluster.vault.c1c633fa-91ef-4e86-b025-4f31b3f14730.aws.hashicorp.cloud:8200"
export VAULT_TOKEN=$(vault write -field="token" auth/approle/login role_id="${role_id}" secret_id="${secret_id}")
vault write auth/kubernetes/role/${NAMESPACE}-${RELEASE_NAME} bound_service_account_names=${RELEASE_NAME} bound_service_account_namespaces=${NAMESPACE} policies=hcp-root ttl=1h
helm upgrade --install $RELEASE_NAME ../helm-chart --set environment=$ENVIRONMENT --set nameOverride=$RELEASE_NAME
也尝试过使用 root 令牌
RELEASE_NAME=demo-managed
NAMESPACE=default
ENVIRONMENT=develop
vault write auth/kubernetes/role/${NAMESPACE}-${RELEASE_NAME} bound_service_account_names=${RELEASE_NAME} bound_service_account_namespaces=${NAMESPACE} policies=hcp-root ttl=1h
helm upgrade --install $RELEASE_NAME ../helm-chart --set environment=$ENVIRONMENT --set nameOverride=$RELEASE_NAME
边车配置
使用命名空间注释，因为我的理解命名空间是必需的
Vault.hashicorp.com/namespace - 配置从 Vault 请求机密时要使用的 Vault Enterprise 命名空间。
https://www.vaultproject.io/docs/platform/k8s/injector/annotations https://www.vaultproject.io/docs/platform/k8s/injector/annotations
vault.hashicorp.com/namespace : "admin"
Error
| Error making API request.
|
| URL: PUT https://vault-cluster.vault.c1c633fa-91ef-4e86-b025-4f31b3f14730.aws.hashicorp.cloud:8200/v1/admin/auth/kubernetes/login
| Code: 403. Errors:
|
| * permission denied
没有命名空间注释出现以下错误
| URL: PUT https://vault-cluster.vault.c1c633fa-91ef-4e86-b025-4f31b3f14730.aws.hashicorp.cloud:8200/v1/auth/kubernetes/login
| Code: 400. Errors:
|
| * missing client token
甚至启用调试日志vault.hashicorp.com/log-level : "debug"不能帮助我解决这个错误，任何帮助或建议将不胜感激。
也尝试过https://support.hashicorp.com/hc/en-us/articles/4404389946387-Kubernetes-auth-method-Permission-Denied-error https://support.hashicorp.com/hc/en-us/articles/4404389946387-Kubernetes-auth-method-Permission-Denied-error
所以看来我错过了金库企业特有的一些东西
终于能够解决保管库的奇怪问题，作为答案发布可能会对其他人有所帮助。
我唯一错过的是理解Vault 服务器、Sidecar 和 Kubernetes 之间的流程。
Kubernetes 应该可以访问保管库企业以进行令牌审查 API 调用。正如您所看到的，当 sidecar 向保管库发出请求时，保管库企业服务器将执行令牌审核 API 调用。
使用 /config 端点进行配置Vault 与 Kubernetes 对话。使用 kubectl cluster-info 验证Kubernetes 主机地址和 TCP 端口。
https://www.vaultproject.io/docs/auth/kubernetes https://www.vaultproject.io/docs/auth/kubernetes
| Error making API request.
|
| URL: PUT https://vault-cluster.vault.c1c633fa-91ef-4e86-b025-4f31b3f14730.aws.hashicorp.cloud:8200/v1/admin/auth/kubernetes/login
| Code: 403. Errors:
|
| * permission denied
backoff=2.99s
此错误并不表明它存在连接问题，但当保管库无法与 Kubernetes 集群通信时也会发生这种情况。
vault write auth/kubernetes/config \
token_reviewer_jwt="$TOKEN_REVIEW_JWT" \
kubernetes_host="$KUBE_HOST" \
kubernetes_ca_cert="$KUBE_CA_CERT" \
issuer="https://kubernetes.default.svc.cluster.local"
KUBE_HOST保险库企业应该可以联系以进行代币审查过程。
因此，为了让保管库与我们的集群进行通信，我们需要进行一些更改。
minikube start --apiserver-ips=14.55.145.30 --vm-driver=none
现在更新vaul-config.sh file
KUBE_HOST=$(kubectl config view --raw --minify --flatten --output='jsonpath={.clusters[].cluster.server}')
将此更改为
KUBE_HOST=""https://14.55.145.30:8443/"
无需手动步骤，首次配置运行
./vault-config.sh
对于 CI/CD 中的其余部署，您可以使用
./vault.sh
每个版本只能访问自己的秘密。
更多详细信息可以找到在 EC2 中启动 minikube https://github.com/Adiii717/vault-sidecar-injector-app/blob/main/README.md#start-minikube-in-ec2
TLDR,
注意：Kubernetes 集群应该可以访问Vault Enterprise 进行身份验证，因此Vault Enterprise 将无法与您的本地minikube 集群进行通信。最好在 EC2 上测试一下