kubernetes - 如何从 Kubernetes 将 secret 写入 HashiCorp Vault for Azure Key Vault？

Question

对于大多数主要的 secret 提供者，我遇到了 Kubernetes 的注入(inject)器/驱动程序/等等，但这些解决方案的共同主题是它们只能单向同步，即只能从保险库到集群。我也希望能够从我的 Kubernetes 集群更新 secret 。
这样做的推荐模式是什么？ (除了编写与保险库通信的自定义服务的明显解决方案之外)

Answer 1

我会说这是一种反模式，这意味着你不应该那样做。
如果您从文件中在 k8s 中创建您的 secret ，那意味着您要么将其置于版本控制中，而这是您永远不应该做的事情。或者您没有在版本控制中使用它，也没有从文字中创建它，这很好，但是您既没有更改历史记录/日志，也没有关于您的 secret 的真实文档。我想这可以解释为什么主要的 secret 提供者不支持这一点。
您应该使用 key 保管库设置 secret ，并使用 Terraform 将其应用到您的集群。
Terraform 支持 azure key vault secret https://www.terraform.io/docs/providers/azurerm/r/key_vault_secret.html和 Kubernetes secret https://www.terraform.io/docs/providers/kubernetes/r/secret.html
您可以简单地导入 keystore secret 并在 k8s secret 中使用它。每次更新 key 保管库 secret 时，都会使用 Terraform 应用更改。