加密后的realm.properties文件在EKS中无法使用的问题咨询

一、SOPS加密realm.properties提交至SCM的方案 #

完全可以用SOPS加密realm.properties后提交到代码仓库，这是安全存储敏感配置的标准做法，具体操作思路如下：

• 密钥配置：根据你的云环境（EKS建议用AWS KMS）配置SOPS的加密密钥，也可以用PGP、GCP KMS等。可通过.sops.yaml文件统一配置加密规则，比如指定密钥ARN、加密文件类型等。
• 加密操作：执行命令加密原文件：

  sops -e realm.properties > realm.properties.sops
  

  加密后的.sops文件可直接提交到Git等SCM系统，无需担心明文泄露。
• 部署解密：在EKS部署Rundeck时，需先解密文件再让Rundeck读取。推荐用Init Container完成解密：
  1. 构建包含SOPS工具的镜像，或直接使用官方SOPS镜像。
  2. 在Deployment的Init Container中挂载加密文件所在的Volume，执行解密命令将文件输出到Rundeck主容器可访问的路径：

     sops -d /mnt/config/realm.properties.sops > /mnt/rundeck-config/realm.properties
     

  3. 主容器挂载/mnt/rundeck-config路径，确保启动时能读取到解密后的明文文件。

二、EKS部署登录失败的排查方向 #

针对ECS正常但EKS出现“Invalid User and Password.”的问题，重点排查以下几点：

• 解密时机与权限：确保Init Container在主容器启动前完成解密，且解密后的realm.properties权限正确（Rundeck进程用户rundeck需要读权限，可设置权限为640，属主rundeck:rundeck）。
• 文件路径匹配：核对EKS中Rundeck容器读取realm.properties的路径是否和ECS一致，默认路径是/etc/rundeck/realm.properties，检查Volume挂载是否正确指向该路径。
• 解密完整性：验证EKS环境解密后的文件内容和ECS上的原文件完全一致，避免加密/解密过程中出现内容丢失或损坏。可在本地和EKS节点分别解密后对比MD5值：

  md5sum realm.properties
  

• 认证配置冲突：检查Rundeck的rundeck-config.properties是否启用了其他认证方式（如LDAP、OIDC），导致本地文件认证被覆盖。确认rundeck.security.authentication.provider配置为file。

内容的提问来源于stack exchange，提问作者skp15