kubernetes - 使用来自 Azure Keyvault 的证书作为 kubernetes secret

Question

我的 Azure KeyVault 中有一个证书 (pfx) - 我将该证书用作 secret (使用 Helm 通过 Azure DevOps 部署)。我遇到的问题是证书以某种方式从 KeyVault 中错误读取(我使用变量组)——结果是当我的应用程序启动时，我得到一个异常，如下所示:

error:23076071:PKCS12 routines:PKCS12_parse:mac verify failure

但是，当我手动创建一个 secret (通过使用 powershell 将证书内容读取为 base64)时，一切正常。我做错了什么？

Answer 1

目前，Azure Pipelines 变量组集成仅支持映射来自 Azure key 保管库的 secret 。不支持加密 key 和证书。参见 here .

作为解决方法，您可以使用 Azure Key Vault task在您的 azure devops 管道中。

Use this task to download secrets such as authentication keys, storage account keys, data encryption keys, .PFX files, and passwords from an Azure Key Vault instance.

If the value fetched from the vault is a certificate (for example, a PFX file), the task variable will contain the contents of the PFX in string format.

- task: AzureKeyVault@1
  inputs:
    azureSubscription: 
    keyVaultName: 
    secretsFilter: '*'

在使用这个任务之前。您应该确保您在 Azure 服务连接中使用的服务主体至少具有对保管库的获取和列表权限。

本教程Using secrets from Azure Key Vault in a pipeline也可能有帮助。