如何在Helm Chart中通过Vault注解将Secret作为环境变量传递？

错误原因 #

你用.Files.Get "/secrets/myconfig.txt"的方式完全搞错了执行时机：

• .Files是Helm在部署阶段读取本地Chart包内文件的工具，根本访问不到Pod运行时容器内部的文件。
• Vault Agent是在Pod运行阶段才把Secret写入/secrets/myconfig.env，Helm部署时这个文件还不存在，所以必然报nil pointer错误。

解决方案 #

方案一：直接用Vault Agent注入环境变量（推荐） #

Vault Agent支持直接将Secret字段注入为容器环境变量，无需手动读写文件。

修改Pod的注解，替换原有的文件注入相关配置：

metadata:
  annotations:
    "helm.sh/hook": pre-install,pre-upgrade,test
    "helm.sh/hook-delete-policy": before-hook-creation,hook-succeeded
    "helm.sh/weight": "0"
    vault.hashicorp.com/agent-inject: "true"
    vault.hashicorp.com/ca-cert: /ca/dev.pem
    vault.hashicorp.com/namespace: "org"
    vault.hashicorp.com/role: vault-service-role
    # 新增：直接注入APP_PASSWORD环境变量，格式为 路径#字段名
    vault.hashicorp.com/agent-inject-env-APP_PASSWORD: "path/to/secret#password"

然后删除原来的这些配置：

• vault.hashicorp.com/secret-volume-path
• vault.hashicorp.com/agent-inject-secret-myconfig.env
• vault.hashicorp.com/agent-inject-template-myconfig.env
• env列表中手动赋值的APP_PASSWORD项

部署后，Vault Agent会自动将Vault中path/to/secret路径下的password字段值，注入为容器的APP_PASSWORD环境变量，直接被你的Python脚本读取。

方案二：从容器内文件读取环境变量（保留文件写入方式） #

如果必须通过文件中转，需要在容器启动时读取文件内容赋值给环境变量：

1. 确保容器挂载Vault Agent创建的secrets卷（Vault Agent会自动创建该卷，只需添加挂载配置）：

containers:
- name: app-auth-test
  # 其他配置不变
  volumeMounts:
  - name: secrets
    mountPath: /secrets
    readOnly: true

2. 修改容器启动命令，先读取文件内容到环境变量，再执行脚本：

command: [ "/bin/bash", "-c" ]
args:
- >
  export APP_PASSWORD=$(cat /secrets/myconfig.env);
  python scripts/validate_app_credentials.py

注意：要保证文件路径一致——你原来的注解写的是myconfig.env，但env里用的是myconfig.txt，这里要统一为myconfig.env。

内容的提问来源于stack exchange，提问作者vidyarthi