如何首次用本地JWT/CA证书配置Hashicorp Vault？配置Helm Chart遇登出问题

问题分析 #

你手动执行vault login后，Pod内的Vault CLI会话会将登录状态保留在~/.vault-token文件中，后续任何人进入该Pod都会直接拥有已登录权限，确实存在极高安全风险。

自动化配置方案 #

1. 通过Helm Values预配置Kubernetes认证 #

Vault Helm Chart支持直接在values.yaml中定义认证方法，完全跳过手动进入Pod的操作：

server:
  authDelegator:
    enabled: true
  standalone:
    enabled: true
    config: |
      ui = true
      listener "tcp" {
        address = "[::]:8200"
        cluster_address = "[::]:8201"
        tls_disable = 1
      }
      storage "file" {
        path = "/vault/data"
      }

# 自动配置Kubernetes Auth方法
authMethods:
  - type: kubernetes
    path: kubernetes
    config:
      token_reviewer_jwt: "$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)"
      kubernetes_host: "https://$KUBERNETES_PORT_443_TCP_ADDR:443"
      kubernetes_ca_cert: "@/var/run/secrets/kubernetes.io/serviceaccount/ca.crt"

injector:
  enabled: true

部署时指定该配置文件：

helm install vault hashicorp/vault -f values.yaml

Chart会自动完成Kubernetes认证的配置，无需手动介入。

2. 临时会话的安全处理（若必须手动操作） #

如果一定要手动执行配置命令，不要使用交互式登录，改用一次性命令避免会话残留：

kubectl exec -it <vault-pod-name> -- sh -c 'VAULT_TOKEN=你的初始化token vault write auth/kubernetes/config token_reviewer_jwt="$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)" kubernetes_host="https://$KUBERNETES_PORT_443_TCP_ADDR:443" kubernetes_ca_cert=@/var/run/secrets/kubernetes.io/serviceaccount/ca.crt'

该命令直接通过环境变量传递token，不会在Pod内生成持久化的token文件。

3. Vault Agent 核心作用简化说明 #

Agent的核心是自动化认证与token管理，完全替代手动登录操作：

• 自动使用Pod的Kubernetes ServiceAccount向Vault发起认证
• 定期刷新Vault token，无需人工干预
• 将所需Secret自动注入到应用Pod的文件或环境变量中
• 全程不需要手动执行vault login，从根源避免会话残留风险

要在应用中使用Agent，只需在Deployment添加注解：

annotations:
  vault.hashicorp.com/agent-inject: "true"
  vault.hashicorp.com/role: "你的应用专属Vault角色"
  vault.hashicorp.com/secret-path: "secret/你的应用Secret路径"

Helm的injector组件会自动为应用Pod添加Agent容器，处理所有认证与Secret获取工作。

内容的提问来源于stack exchange，提问作者zacko