从Hashicorp Vault同步密钥至K8s集群遇挂载问题求助

核心错误分析 #

日志明确提示no CSIDriver object，说明Vault Secrets Store CSI驱动未正确部署，导致K8s无法识别该CSI驱动，进而触发Ephemeral卷模式不支持的错误。以下是分步解决思路：

1. 验证CSI驱动部署状态 #

先确认驱动的核心资源是否存在：

• 检查CSIDriver对象：

  kubectl get csidriver
  

  正常输出应包含secrets-store.csi.x-k8s.io条目。如果缺失，重新执行Helm安装，确保使用官方chart并保留默认配置（默认会创建CSIDriver对象）：

  helm repo add hashicorp https://helm.releases.hashicorp.com
  helm install vault hashicorp/vault --set "csi.enabled=true" -n kube-system
  

• 检查驱动Pod状态：

  kubectl get pods -n kube-system -l app.kubernetes.io/name=vault-csi
  

  确保所有Pod处于Running状态，若有异常查看Pod日志排查启动失败原因。

2. 修复Deployment卷配置 #

显式指定卷模式为Filesystem（CSI驱动默认支持该模式，避免K8s默认使用Ephemeral模式），修改Deployment的volumes段：

volumes:
- name: vault-test
  volumeMode: Filesystem  # 新增该行
  csi:
    driver: secrets-store.csi.x-k8s.io
    readOnly: true
    volumeAttributes:
      secretproviderclass: vault-test

3. 修正SecretProviderClass与Deployment的配置不一致 #

• Deployment的环境变量admin引用的是名为admin的Secret，但SecretProviderClass中配置的secretObjects.secretName是vault-test，二者需保持一致：要么修改Deployment的secretKeyRef.name为vault-test，要么修改SecretProviderClass的secretName为admin。
• 避免硬编码vaultToken：当前配置直接写入vaultToken存在安全风险，建议改用AppRole认证，将Secret ID存储在K8s Secret中，通过secretRef引用，示例：

  parameters:
    vaultAddress: https://vault.dev.org
    vaultNamespace: abc
    roleName: approle
    objects: |
      - objectName: admin
        secretPath: kafka
        secretKey: admin
  secretRef:
    name: vault-approle-secret  # 存储role_id和secret_id的K8s Secret
  

• 确认Vault密钥路径：若使用KV v2引擎，secretPath需改为secret/data/kafka；若为KV v1则保持kafka，需与Vault中的实际路径匹配。

4. 验证RBAC权限有效性 #

检查ServiceAccount是否拥有足够权限：

kubectl auth can-i create serviceaccounts/token -n test-quota --as=system:serviceaccount:test-quota:vault-test
kubectl auth can-i get serviceaccounts -n test-quota --as=system:serviceaccount:test-quota:vault-test

若返回no，则需检查ClusterRoleBinding是否正确绑定到ServiceAccount，或补充缺失的权限规则。

内容的提问来源于stack exchange，提问作者prakasun