使用Vault CSI Provider对接HCP Vault时部署出现secret未找到错误

尝试通过Vault CSI Provider从HCP Vault拉取密钥到Kubernetes，已配置Vault策略、K8s认证角色、SecretProviderClass、ServiceAccount及Deployment，但创建Deployment时出现错误：

Warning  Failed     7s (x2 over 8s)  kubelet            Error: secret "vault-n8n-creds-secret" not found

已确认Kubernetes认证已启用，以下是排查步骤与解决方案：

排查与解决步骤 #

1. 检查Secrets Store CSI组件状态 #

首先确认Secrets Store CSI Driver和Vault Provider的Pod是否正常运行：

kubectl get pods -n kube-system | grep -E 'secrets-store|vault'

若Pod异常（如镜像拉取失败、CrashLoopBackOff），先修复组件运行问题，比如检查镜像权限、资源配额等。

2. 验证Vault K8s认证配置完整性 #

• 检查Vault的K8s认证后端配置是否正确：

  vault read auth/kubernetes/config
  

  确保kubernetes_host指向集群API地址，kubernetes_ca_cert与集群CA一致。
• 确认Vault角色绑定规则与K8s资源完全匹配：
  检查Terraform中vault_kubernetes_auth_backend_role.n8n的bound_service_account_names和bound_service_account_namespaces，是否与K8s中n8n-sa的名称、Namespace完全一致（注意大小写和拼写）。

3. 查看CSI同步日志定位具体错误 #

查看Secrets Store CSI Driver的日志，获取同步失败的详细原因：

kubectl logs -n kube-system -l app=secrets-store-csi-driver -c secrets-store

常见问题包括：

• Vault地址不可达：测试集群内是否能访问http://vault.vault.svc:8200，比如用临时Pod执行curl http://vault.vault.svc:8200/v1/sys/health。
• 权限不足：验证Vault策略是否生效，手动测试角色权限：

  # 获取ServiceAccount的JWT令牌
  SA_JWT=$(kubectl get secrets -n n8n $(kubectl get serviceaccount n8n-sa -n n8n -o jsonpath='{.secrets[0].name}') -o jsonpath='{.data.token}' | base64 -d)
  # 用JWT登录Vault
  vault write auth/kubernetes/login role=n8n jwt=$SA_JWT
  # 尝试读取密钥路径
  vault kv get secret/n8n
  

  若读取失败，检查Vault策略是否正确授权secret/data/n8n路径的read权限，或确认该路径下确实存在密钥。
• 对象匹配失败：检查SecretProviderClass中objects的objectName与secretObjects的objectName是否完全一致（你的配置中部分字段存在多余空格，需修正）。

4. 解决Deployment启动依赖问题 #

Deployment启动时依赖同步生成的Secret，但CSI同步存在延迟，可添加初始化容器等待Secret创建完成：

spec:
  template:
    spec:
      initContainers:
      - name: wait-for-secret
        image: busybox:1.36
        command: ['sh', '-c', 'until kubectl get secret vault-n8n-creds-secret -n n8n; do echo waiting for secret; sleep 5; done']
        serviceAccountName: n8n-sa
      containers:
      # 原容器配置保持不变

同时给n8n-sa添加读取Secret的权限：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: n8n
  name: secret-reader
rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["get"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: n8n
  name: n8n-sa-secret-reader
subjects:
- kind: ServiceAccount
  name: n8n-sa
roleRef:
  kind: Role
  name: secret-reader
  apiGroup: rbac.authorization.k8s.io

5. 修正SecretProviderClass的格式问题 #

检查secretObjects中objectName的空格问题，你的配置中DB_POSTGRESDB_DATABASE等字段后存在多余空格，会导致匹配失败，修正后示例：

data:
  - objectName: "DB_POSTGRESDB_DATABASE"
    key: "DB_POSTGRESDB_DATABASE"
  - objectName: "DB_POSTGRESDB_HOST"
    key: "DB_POSTGRESDB_HOST"
  # 其他字段同理，去除多余空格

内容的提问来源于stack exchange，提问作者Антон Челышков