Vault agent inject pas d'auto-auth dans k8s

Question

salut la team
on essaie de faire marcher vault agent injector dans notre cluster k8s pour de l'auto-auth avec des configs via filesystems mais j'ai un souci. les pods sont bien injectés mais l'agent démarre pas l'auto-auth. les logs sont pas super clairs.
# annotation sur le pod
annotations:
  vault.hashicorp.com/agent-inject: "true"
  vault.hashicorp.com/agent-inject-template-config.ctmpl: |
    {{- with secret "kv/data/my-app/config" -}}
    db_password={{ .Data.data.db_password }}
    {{- end -}}

ça donne l'impression que le process vault-agent est bien là mais qu'il initie rien. des idées sur les vérifs à faire ?

nmonnier · Answer

yo t'as bien configuré un auth method kubernetes dans vault avec le service account token review set up ? souvent c'est ça qui coince si vault peut pas valider le token du pod.

sebastien-thibault · Answer

ouais et check les policies vault associées à ton role k8s. si l'agent a pas les droits pour lire le secret kv/data/my-app/config il va rien faire d'utile. genre un vault token capabilities vault-agent-k8s-role kv/data/my-app/config pour voir

vleduc · Answer

c'est bon les gars ! c'était une faute de frappe dans la policy attachée au role k8s. au lieu de kv/data/my-app/config j'avais mis kv/my-app/config. une fois corrigé l'agent auto-auth direct ! thx pour le coup de main

Vault agent inject pas d'auto-auth dans k8s

3 commentaires

Laisser une réponse

Les tableaux dans le langage de programmation Go

Importer un dépôt externe vers GitLab pour migrer vos projets

L'Ère du DevOps par Intentions : Quand l'IA Réinvente l'Opération

sched_ext : Réécrire l'Ordonnanceur Linux via eBPF

Hugepages : L'optimisation mémoire cachée des systèmes haute performance

Rejoindre la communauté