从零搭建 HashiCorp Vault 密钥管理

适用场景

需要集中管理数据库密码、API Key、证书和动态凭据，要求审计、租约和细粒度权限。适合多团队、多环境，且不希望把密钥散落在 CI 变量和 ConfigMap 中。

前置条件

• Kubernetes 集群或独立虚拟机，Vault 版本与 CLI 匹配。
• 后端存储方案：生产推荐 Raft 集成存储或外部数据库。
• TLS 证书和域名；生产不要用 HTTP。
• 自动解封方案（KMS、Transit 或云 KMS）和至少 3 个恢复密钥持有人。

步骤

1. 使用 Helm 安装生产模式：

helm repo add hashicorp https://helm.releases.hashicorp.com
helm repo update
helm install vault hashicorp/vault \
  --namespace vault --create-namespace \
  --set 'server.ha.enabled=true' \
  --set 'server.ha.raft.enabled=true' \
  --set 'server.dataStorage.size=20Gi'

2. 初始化并解封：

kubectl -n vault exec -it vault-0 -- vault operator init
kubectl -n vault exec -it vault-0 -- vault operator unseal <KEY_1>
kubectl -n vault exec -it vault-0 -- vault operator unseal <KEY_2>
kubectl -n vault exec -it vault-0 -- vault operator unseal <KEY_3>

初始化的 root token 只用于首次配置，配置完成后立即撤销或封存。

3. 登录并启用 KV v2：

kubectl -n vault exec -it vault-0 -- vault login <ROOT_TOKEN>
kubectl -n vault exec -it vault-0 -- vault secrets enable -path=secret kv-v2
kubectl -n vault exec -it vault-0 -- vault kv put secret/demo/db username=app password='***'

4. 配置策略和 Kubernetes 认证：

vault policy write demo-read - <<'EOF'
path "secret/data/demo/*" {
  capabilities = ["read"]
}
EOF

vault auth enable kubernetes
vault write auth/kubernetes/config kubernetes_host="https://kubernetes.default.svc"
vault write auth/kubernetes/role/demo \
  bound_service_account_names=demo \
  bound_service_account_namespaces=demo \
  policies=demo-read ttl=1h

5. 应用通过 Vault Agent Injector 或 CSI Provider 注入密钥：

kubectl annotate deploy demo \
  vault.hashicorp.com/agent-inject="true" \
  vault.hashicorp.com/role="demo" \
  vault.hashicorp.com/agent-inject-secret-db="secret/data/demo/db"

6. 配置审计和备份：

vault audit enable file file_path=/vault/logs/audit.log
vault operator raft snapshot save /vault/backup/vault.snap

验证

• vault status 显示 Sealed: false 和 HA Mode: active/standby。
• 应用 Pod 内能看到注入的密钥文件，且租约到期后自动续期。
• 使用错误 ServiceAccount 或命名空间访问时被拒绝。
• 审计日志记录登录、读取和策略变更。
• 定期从 Raft 快照恢复演练成功。

回滚

• 策略变更前先导出旧策略，回滚时重新 vault policy write。
• 应用侧保留短期回退凭据，避免 Vault 不可用时完全无法启动。
• 升级前做 Raft 快照；回滚版本时同时回滚存储格式需谨慎。
• 不要轻易执行 vault operator seal，会中断所有动态凭据续期。

常见坑

• 只部署单节点且没有自动解封，节点重启后服务全部拿不到密钥。
• root token 长期留在 CI 或本地 shell 历史中。
• Kubernetes 认证的 bound_service_account_names 配错，表现为 permission denied。
• KV v1 和 v2 的路径不同，v2 读取要加 data/。
• 策略只限制路径不限制能力，仍然可能被删除或覆盖。
• 没有配置审计日志，出问题无法追溯谁读了哪个密钥。

相关命令

• vault — 初始化、解封、策略、认证和快照
• kubectl — 查看 Vault Pod 与注入注解
• helm — 安装和升级 Vault
• openssl — 证书检查