如何在生产Kubernetes集群的Superset中注入Vault密钥？

1. Vault Agent注入注解的位置 #

你找到的vault.hashicorp.com/xxx系列注解属于Pod级别的元数据配置，需要添加到Superset应用Pod的注解字段中。在绝大多数Helm Chart里，这个配置字段为podAnnotations，通常放在顶层或superset子节点下：

# values.yaml 中新增Pod注解配置
podAnnotations:
  vault.hashicorp.com/agent-inject: 'true'
  vault.hashicorp.com/agent-pre-populate-only: 'true'
  vault.hashicorp.com/role: '{{ .Values.name }}'
  vault.hashicorp.com/agent-inject-secret-config: 'kv/{{ .Release.Namespace }}/{{ .Values.name }}'
  vault.hashicorp.com/agent-inject-template-config: |
    {{`{{ with secret "`}}kv/{{ .Release.Namespace }}/{{ .Values.name }}{{`" -}}`}}
      {{`{{ range $key, $value := .Data -}}
        {{ $key }}={{ $value }}{{printf "
"}}
      {{- end }}
    {{- end }}`}}

如果你的Chart结构中，主应用的Pod注解嵌套在具体组件下（比如superset.deployment.podAnnotations），则调整路径到对应位置即可。

2. 启动命令的位置 #

需要修改Superset主容器的启动命令，让它加载Vault注入的环境变量。找到values.yaml中对应主容器的command配置块，替换为你的启动命令：

# values.yaml 中修改容器启动命令
superset:
  container:
    command:
      - /bin/sh
      - -c
      - |
        env $(cat /vault/secrets/config) /bin/sh -c 'START_SCRIPT'

注意：将START_SCRIPT替换为Superset实际使用的启动脚本路径或命令（比如官方Chart中可能是/usr/bin/run-server.sh，需根据你的部署调整）。

额外验证点 #

• 确认Kubernetes集群已部署并配置Vault Agent Injector，否则注解不会生效。
• 检查Vault角色{{ .Values.name }}是否拥有读取路径kv/{{ .Release.Namespace }}/{{ .Values.name }}下密钥的权限。
• 若使用自定义Helm Chart，需确认Pod注解和容器命令的配置路径与你的Chart结构匹配（比如部分Chart用deployments.app.superset.podAnnotations或containers[0].command）。

内容的提问来源于stack exchange，提问作者Karol