将HashiCorp Vault密钥解析至Helm values.yaml的方案咨询

针对你遇到的OOB Helm Chart（如PostgreSQL）不支持existingSecret、无法直接在values.yaml引用Vault密钥的问题，以下是几个无需修改Chart核心代码的可行方案：

方案1：用Init容器覆盖Chart生成的配置/密钥文件 #

利用Init容器读取Vault Agent注入的密钥文件，覆盖Chart自动生成并挂载到Pod的ConfigMap或Secret内容，实现密钥替换。

操作步骤： #

1. 在values.yaml中定义额外的Init容器，指定其读取/vault/secrets/db-config.txt中的密钥，并写入Chart挂载配置的目标路径。
2. 确保Vault Agent的密钥卷和Chart的配置卷都挂载到Init容器中。

示例（PostgreSQL Chart）： #

extraInitContainers:
  - name: vault-secret-override
    image: busybox:latest
    command:
      - sh
      - -c
      - |
        # 从Vault注入文件提取密钥
        DB_NAME=$(grep 'db-name' /vault/secrets/db-config.txt | cut -d'=' -f2)
        DB_PASSWORD=$(grep 'db-password' /vault/secrets/db-config.txt | cut -d'=' -f2)
        # 覆盖Chart生成的Secret挂载文件（需确认Chart实际挂载路径）
        echo "$DB_NAME" > /opt/postgres/secrets/POSTGRES_DB
        echo "$DB_PASSWORD" > /opt/postgres/secrets/POSTGRES_PASSWORD
    volumeMounts:
      - name: vault-secrets
        mountPath: /vault/secrets
      - name: postgres-secrets
        mountPath: /opt/postgres/secrets

volumes:
  - name: vault-secrets
    emptyDir: {}

注意：需提前确认Chart将Secret/ConfigMap挂载到Pod的具体路径，调整上述示例中的/opt/postgres/secrets为实际路径。

方案2：用envsubst动态替换环境变量启动服务 #

通过修改Pod的启动命令，先将Vault注入的密钥导出为环境变量，再用envsubst替换配置文件中的占位符（或直接利用环境变量优先级覆盖Chart默认值）。

操作步骤： #

1. 在values.yaml中重写Chart的启动命令，先加载Vault密钥文件到环境变量，再替换配置并启动服务。
2. 挂载Vault密钥卷到主容器。

示例（PostgreSQL Chart）： #

command:
  - sh
  - -c
  - |
    # 加载Vault注入的密钥为环境变量
    set -a
    source /vault/secrets/db-config.txt
    set +a
    # 若Chart使用配置模板，替换占位符（无模板可跳过此步）
    envsubst < /etc/postgres/postgresql.conf.template > /etc/postgres/postgresql.conf
    # 启动PostgreSQL服务
    exec postgres -D /var/lib/postgresql/data
args: []

extraVolumeMounts:
  - name: vault-secrets
    mountPath: /vault/secrets

说明：PostgreSQL会优先读取环境变量（如POSTGRES_DB、POSTGRES_PASSWORD），因此即使Chart生成了配置文件，环境变量也会覆盖其值。

方案3：用Helm Pre-install Hook生成临时Secret #

通过Helm预安装Hook调用Vault CLI获取密钥，生成K8s Secret，再在values.yaml中配置Chart从该Secret读取环境变量。

操作步骤： #

1. 创建Helm Hook Job，配置K8s RBAC权限允许其创建Secret，并用Vault K8s Auth登录获取密钥。
2. 在values.yaml中配置Chart的额外环境变量，从Hook生成的Secret读取值。

示例Hook资源： #

apiVersion: batch/v1
kind: Job
metadata:
  name: vault-secret-generator
  annotations:
    "helm.sh/hook": pre-install
    "helm.sh/hook-weight": "-5"
    "helm.sh/hook-delete-policy": hook-succeeded
spec:
  template:
    spec:
      serviceAccountName: vault-hook-sa # 需提前创建带Secret创建权限的SA
      containers:
        - name: vault-cli
          image: hashicorp/vault:latest
          command:
            - sh
            - -c
            - |
              VAULT_ADDR="https://vault.your-domain.com"
              # K8s Auth方式登录Vault
              vault login -method=kubernetes role=postgres-role
              # 从Vault读取密钥
              DB_NAME=$(vault kv get -field=db-name secret/postgres)
              DB_PASSWORD=$(vault kv get -field=db-password secret/postgres)
              # 创建K8s Secret
              kubectl create secret generic postgres-vault-secret --from-literal=POSTGRES_DB=$DB_NAME --from-literal=POSTGRES_PASSWORD=$DB_PASSWORD
      restartPolicy: Never
  backoffLimit: 1

对应values.yaml配置： #

extraEnv:
  - name: POSTGRES_DB
    valueFrom:
      secretKeyRef:
        name: postgres-vault-secret
        key: POSTGRES_DB
  - name: POSTGRES_PASSWORD
    valueFrom:
      secretKeyRef:
        name: postgres-vault-secret
        key: POSTGRES_PASSWORD

方案4：用External Secrets Operator同步Vault密钥到K8s Secret #

通过External Secrets Operator（ESO）将Vault中的密钥同步为K8s原生Secret，再配置Chart从该Secret读取值，绕过Chart自动生成Secret的逻辑。

操作步骤： #

1. 部署ESO并配置Vault SecretStore。
2. 创建ExternalSecret资源同步Vault密钥到K8s Secret。
3. 在values.yaml中配置Chart从同步后的Secret读取环境变量（若Chart支持existingSecret可直接指定）。

示例ExternalSecret： #

apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: postgres-vault-secret
spec:
  secretStoreRef:
    name: vault-backend # 已配置的Vault SecretStore
    kind: SecretStore
  target:
    name: postgres-vault-secret # 生成的K8s Secret名称
  data:
    - secretKey: POSTGRES_DB
      remoteRef:
        key: secret/postgres
        property: db-name
    - secretKey: POSTGRES_PASSWORD
      remoteRef:
        key: secret/postgres
        property: db-password

对应values.yaml配置： #

# 若Chart支持existingSecret参数，直接指定
auth:
  existingSecret: postgres-vault-secret

# 否则用extraEnv覆盖
extraEnv:
  - name: POSTGRES_DB
    valueFrom:
      secretKeyRef:
        name: postgres-vault-secret
        key: POSTGRES_DB
  - name: POSTGRES_PASSWORD
    valueFrom:
      secretKeyRef:
        name: postgres-vault-secret
        key: POSTGRES_PASSWORD

内容的提问来源于stack exchange，提问作者FireHawk2300