如何使用 Vault 动态机密并将它们作为环境变量注入 Kubernetes 部署？

Question

我们在 k8s 上运行一个 Vault 集群（由 helm 部署）和一些微服务。 我们的 MongoDB atlas 连接字符串在微服务部署中配置为 ENV。 我们希望继续使用 ENV 而无需更改代码以读取 Vault 配置文件。因此，我们尝试了这里的示例：

https://www.vaultproject.io/docs/platform/k8s/injector/examples

向 ENV 注入有效，但是当保管库轮换凭证时，我们需要重新创建将再次注入 ENV 的 pod。

我想知道我们如何在 k8s 上使用带有 ENV 的 Vault 中的动态机密功能。如果您有任何建议。

谢谢

Answer 1

如果您使用环境变量来注入秘密，则每当秘密发生变化时（如您所见），您都需要重新创建 pod，因为环境变量仅在 pod 启动时生成 - 它不是可以更改正在运行的应用程序的环境变量。如果您希望您的应用程序支持在运行时更改的凭据，恐怕您需要向您的应用程序添加对它的支持（并在需要时从使用 env var 更改为从文件中读取详细信息）。