Pod 在线时 Azure CSI Key Vault 提供程序动态更新 secret

Question

我们正在使用 AKS、Azure Key Vault，并且目前使用 CSI 驱动程序在创建容器时将 secret 数据传递到我们的容器中(通过 CSI 驱动程序)。

CSI 驱动程序的文档似乎表明它支持通过“自动旋转”进行动态 key 保管库值更新。然而，如果我们采用一个在线且已安装 secret 的 pod 并更改 key 存储中的 secret 值，我们在 pod 中看不到该值发生变化——我们已经等待了超过 60m 来看看是否有一些变化轮询间隔类型。

任何人都可以确认 CSI 驱动程序 key 自动轮换是否应该动态地保持正在运行的 Pod 中的 secret 是最新的？最终，我们正在寻找一种方法来刷新来自 Azure Key Vault(通过 CSI 驱动程序)的 pod 中的 secret ，而不会导致 pod 重新启动。如果有人能为我们指明正确的方向，我们将不胜感激。

Answer 1

查看documentation ，您可以应用其他配置:

• enableSecretRotation: Boolean type. If true, periodically updates the pod mount and Kubernetes Secret with the latest content from external secrets store.
• rotationPollInterval: Specifies the secret rotation poll interval duration if enableSecretRotation is true. This duration can be adjusted based on how frequently the mounted contents for all pods and Kubernetes secrets need to be resynced to the latest.
• syncSecret.enabled: Boolean input. In some cases, you may want to create a Kubernetes Secret to mirror the mounted content. If true, SecretProviderClass allows the secretObjects field to define the desired state of the synced Kubernetes Secret objects.