K8s集群中应用如何正确引用Vault服务的环境变量？

1. 先确认命名空间是否一致 #

Kubernetes只会给同一命名空间下的Pod自动注入其他Service的{SERVICE_NAME}_SERVICE_HOST和{SERVICE_NAME}_SERVICE_PORT环境变量。如果你的应用Pod和Vault Service不在同一个命名空间，K8s不会自动生成这些变量，解决方案二选一：

• 把应用Pod和Vault Service迁移到同一个命名空间；
• 手动在应用Deployment里添加环境变量，直接指定Vault的访问地址（比如用Ingress域名+端口，或者跨命名访问格式vault.{VAULT_NAMESPACE}.svc.cluster.local:{PORT}）。

2. 检查Vault Service的选择器是否匹配 #

Vault Service的选择器必须精准匹配Vault Deployment的Pod标签，这是K8s生成服务环境变量的核心前提。举个正确的配置示例：

• Vault Deployment的Pod标签：

  spec:
    template:
      metadata:
        labels:
          app: vault
  

• 对应的Vault Service选择器：

  spec:
    selector:
      app: vault
  

如果选择器和Pod标签不匹配，K8s会判定这个Service没有后端Pod，自然不会给其他Pod注入对应的环境变量。

3. 重启应用Pod（如果启动时机有问题） #

如果应用Pod在Vault Service创建之前就已经启动，K8s不会事后补注入环境变量。这种情况直接重启应用的Pod，让K8s重新注入最新的服务环境变量即可。

4. 手动指定环境变量（替代自动注入） #

如果自动注入不符合需求（比如跨命名空间、想用Ingress地址），可以直接在应用Deployment里手动定义环境变量：

spec:
  template:
    spec:
      containers:
      - name: your-app
        env:
        # 同命名空间下用Service名称访问
        - name: VAULT_HOST
          value: vault
        - name: VAULT_PORT
          value: "8200" # 替换成你的Vault Service端口
        # 或者用Ingress地址
        - name: VAULT_HOST
          value: vault.your-domain.com
        - name: VAULT_PORT
          value: "443" # 对应Ingress的端口，比如80或443

之后在bootstrap.yml里直接用这些自定义变量：

vault:
  host: ${VAULT_HOST}
  port: ${VAULT_PORT}

5. 用K8s DNS替代环境变量 #

Kubernetes内置的DNS服务允许Pod直接通过Service名称访问服务，完全不需要依赖环境变量。同命名空间下直接写vault:8200；跨命名空间则用vault.{vault-namespace}.svc.cluster.local:8200。你可以直接把这个地址写在bootstrap.yml里，或者用ConfigMap统一管理。

内容的提问来源于stack exchange，提问作者Maksym Rybalkin