Vault sur K8s tokens qui expirent trop vite j'y pige rien

Question

yo la team j'ai un souci avec vault sur k8s mes applications récupèrent bien leurs secrets mais les tokens générés pour les pods expirent genre en 5 minutes. c'est ingérable faut qu'elles re-authentifient tout le temps
# policy vault simplifiée
path "secret/data/myapp/*" {
  capabilities = ["read"]
}

j'ai bien mis un role avec un ttl plus long pour les k8s auth method mais ça change rien

xguillaume · Answer

salut ! le ttl sur le rôle c'est pour le token initial mais le problème c'est souvent le lease_duration des secrets ou la durée de validité du token k8s lui-même. t'as configuré un max_ttl pour le secrets engine ou sur le mount point de l'auth method ?

wbonnin · Answer

ouais et n'oublie pas le service account token de ton pod par défaut il expire au bout d'une heure. si vault utilise ce token pour l'auth k8s il est lié à ça. faut que tu montes un projected volume avec un token d'une durée plus longue via le champ serviceAccount.automountServiceAccountToken: false et puis token.expirationSeconds

patrick-hubert · Answer

ha ok donc le ttl du rôle c'est le token vault le service account token c'est celui de k8s. j'ai regardé mon rôle vault et le max_ttl était à 5m aussi c'est ça le souci ptete

xguillaume · Answer

possible vérifie aussi si le mount point k8s auth n'a pas un max_ttl global qui écrase tout. un vault read auth/kubernetes/config te donnera ça. si c'est le cas tu peux le modifier avec vault write auth/kubernetes/config default_lease_ttl="24h" max_lease_ttl="72h"

wbonnin · Answer

exact et si tu as des proxys ou load balancers entre tes pods et vault assure-toi qu'ils ne coupent pas les connexions avant l'expiration du token. des fois ça simule un problème de ttl

patrick-hubert · Answer

bingo ! c'était bien le max_ttl sur le rôle de l'auth method k8s qui était trop court je l'ai mis à 24h et ça roule nickel maintenant. le service account token de k8s était déjà bon. merci les gars ça m'a sauvé la journée

Vault sur K8s tokens qui expirent trop vite j'y pige rien

Commentaires

Laisser une réponse

Création d'un playbook multi distributions

Installation et manipulation d'un cluster Kubernetes avec Minikube

Augmenter les performances de votre Playbook

Rejoindre la communauté