vault pas de lease renouvelé pour mes secrets k8s

Question

salut la tech ! j'ai un souci avec vault et k8s. j'utilise l'agent vault sidecar pour injecter des secrets mais après un certain temps genre 24h mes pods perdent l'accès aux secrets vault. le logs de l'agent disent que le lease n'est pas renouvelé. mes pods sont liés à un serviceaccount et ont un rôle qui va bien. des idées sur quoi checker ?
# Logs exemple du sidecar
vault agent | 2023-10-27T10:30:05.123Z [ERROR] core: lease renewal failed: error="token lease is not renewable"
vault agent | 2023-10-27T10:30:05.123Z [ERROR] core: lease renewal failed: error="failed to renew token"

lenoir-astrid · Answer

yo. le token utilisé par l'agent est ptete un one-shot ou sa ttl max est trop courte non ? vérifie la politique associée au rôle k8s qui délivre le token. regarde le max_ttl et les periodes

zlambert · Answer

ouais et assure-toi que le token a bien la capacité de renouveler. des fois la policy n'a pas la permission pour sys/renew ou sys/revoke sur son propre token

josephine86 · Answer

ok je regarde les policies. mon rôle k8s a un ttl de 24h et un max_ttl de 72h. la policy est simple elle donne read sur le path secret. je vois pas de mention pour sys/renew

lenoir-astrid · Answer

c'est ça ton problème. la permission pour sys/renew ou sys/revoke est implicite pour les tokens self-renewables mais si t'as une config spécifique ou un token root délivré sans ces capabilitees il faut les ajouter. c'est surtout si ton token est pas self-renewing de base

zlambert · Answer

et aussi un truc con mais vérifie l'horloge système de ton pod et de ton serveur vault. un skew temporel peut foutre un bordel pas possible avec les leases

josephine86 · Answer

bingo pour la policy ! j'ai ajouté la capability sys/renew-self sur le path sys/leases/renew pour le role k8s et hop les tokens se renouvellent sans souci. thx les gars

vault pas de lease renouvelé pour mes secrets k8s

6 commentaires

Laisser une réponse

Les variables dans le langage de programmation Go

Introduction à la Gestion de projets Informatiques

NetworkPolicy (Firewall interne des pods kubernetes)

Découverte et utilisation de l'outil Packer

Tuto : Configurer l'Auto-scaling GPU pour vos LLM avec Karpenter

Rejoindre la communauté