azure - 获取本地开发集群的 Azure 键值 secret

Question

我正在努力集成 AKV 和 AKS，尽管我遇到了一些 road blocks .

无论如何，我最终想要做的就是自动从本地开发集群中提取凭据和 API key 。这样，开发人员就不必担心“去这里”、“做 x”等。他们只需启动他们的开发集群， key 和凭据就会自动拉取，并且可以从中央位置进行管理。

如果我能让 AKV 和 AKS 集成正常工作，那么它就很有意义，因为它们是相同的上下文。本地开发环境将完全不同，minikube、集群，因此上下文不同。

我正在努力思考如何获取本地开发集群中的 key :

下面的 secrets-store.csi.k8s.io 是否可用于本地开发集群(取自 AKV-AKS integration documentation )？

apiVersion: v1
kind: Pod
metadata:
  name: nginx-secrets-store-inline
  labels:
    aadpodidbinding: azure-pod-identity-binding-selector
spec:
  containers:
    - name: nginx
      image: nginx
      volumeMounts:
        - name: secrets-store-inline
          mountPath: "/mnt/secrets-store"
          readOnly: true
  volumes:
    - name: secrets-store-inline
      csi:
        driver: secrets-store.csi.k8s.io
        readOnly: true
        volumeAttributes:
          secretProviderClass: azure-kvname

或者我是否需要按照如下所述执行类似的操作 here ？

az keyvault secret show --name "ExamplePassword" --vault-name "<your-unique-keyvault-name>" --query "value"

Answer 1

Will the secrets-store.csi.k8s.io in the following be available to use for local dev clusters (as taken from the AKV-AKS integration documentation)?

不，它在本地不可用。

secrets-store.csi.k8s.io 使用managed identity(MSI)要访问 keyvault，本质上是对 azure 实例元数据端点进行 API 调用以获取访问 token ，然后使用该 token 自动获取 key ，它仅在支持 MSI 的 Azure 环境中可用。

Or do I need to do something like the following as it is outlined here?

是的，要从本地的 azure keyvault 获取 key ，您可以选择手动执行此操作，例如使用您提到的 Azure CLI az keyvault Secret show。