Vault : Problème de rotation de clés auto sur k8s

Posté par camille07 le 01/06/2025
RÉSOLU
Retour Répondre Créer

Avatar de camille07

camille07

Membre depuis le 25/08/2019

actif

Salut la team on a déployé vault agent sur k8s pour gérer les secrets des pods mais on a un souci avec la rotation automatique des tokens/secrets. les pods reçoivent bien les creds au démarrage mais ensuite ça tourne pas et les logs de vault agent dans les containers montrent rien d'anormal

# exemple de config vault agent injector sur le pod
annotations:
  vault.hashicorp.com/agent-inject: "true"
  vault.hashicorp.com/role: "my-app-role"
  vault.hashicorp.com/agent-inject-template-db-creds.txt: |
    {{- with secret "database/creds/my-app" -}}
    username="{{ .Data.username }}"
    password="{{ .Data.password }}"
    {{- end -}}

Commentaires

Avatar de jules-gregoire

jules-gregoire

Membre depuis le 28/02/2019

actif

yo t'as vérifié les permissions de ton app role ? souvent c un problème de politique vault qui n'autorise pas la lecture sur le chemin des secrets ou la capacité à renouveler un token. regarde les logs d'audit vault si t'en as

Avatar de gabriel-etienne

gabriel-etienne

Membre depuis le 06/04/2019

actif

un autre truc à checker c'est l'annotation vault.hashicorp.com/agent-inject-auto-auth: "true" si t'utilises auto-auth et aussi vault.hashicorp.com/renew-interval pour forcer un intervalle de renouvellement sinon ça se base sur la durée de vie du token

Avatar de christophe-deschamps

christophe-deschamps

Membre depuis le 17/09/2019

actif

et le cpu/mémoire de tes pods vault agent ? si le sidecar est OOMKilled ou throttled il peut pas faire son taf. aussi la connectivité entre le pod et le serveur vault est stable ? un souci réseau temporaire peut perturber la rotation

Avatar de camille07

camille07

Membre depuis le 25/08/2019

actif

c'était bien la politique vault qui était trop restrictive mon app-role n'avait pas les droits read et update sur le chemin auth/token/renew-self. j'ai ajusté et maintenant ça tourne impec merci les gars !

Laisser une réponse

Vous devez être connecté pour poster un message !

Rejoindre la communauté

Recevoir les derniers articles gratuitement en créant un compte !

S'inscrire