如何通过Jenkins Vault插件将生成的新凭证写入Vault？

1. Jenkins Vault插件能否实现写入凭证？ #

Jenkins官方的Vault插件（hashicorp-vault-plugin）核心定位是从Vault读取凭证并注入Jenkins环境，原生不提供写入Vault的功能。如果要在Jenkins Pipeline中实现凭证写入，需要结合Vault的原生能力通过其他方式完成。

2. 简单安全的Vault凭证存储方法 #

下面是一种在Jenkinsfile中实现生成并写入Vault的安全方案，核心通过Vault CLI完成操作，同时兼顾认证安全：

前置条件 #

• Jenkins服务器已安装Vault CLI，且能正常访问Vault服务端
• 已为Jenkins配置Vault认证方式（推荐用AppRole，比固定Token更安全），并确保该账号拥有目标路径的create/update权限

具体实现（Jenkinsfile示例） #

pipeline {
    agent any
    environment {
        // 通过Jenkins凭证管理存储Vault的AppRole信息，避免硬编码
        VAULT_ROLE_ID = credentials('vault-approle-role-id')
        VAULT_SECRET_ID = credentials('vault-approle-secret-id')
        VAULT_ADDR = 'https://your-vault-server:8200'
        VAULT_TARGET_PATH = 'secret/myapp/new-service-creds'
    }
    stages {
        stage('生成并写入Vault凭证') {
            steps {
                script {
                    // 1. AppRole认证获取临时Token
                    def loginResult = sh(
                        script: "vault login -format=json -method=approle role_id=\${VAULT_ROLE_ID} secret_id=\${VAULT_SECRET_ID}",
                        returnStdout: true
                    )
                    def tempToken = readJSON(text: loginResult).auth.client_token

                    // 2. 用Vault内置工具生成安全随机密码
                    def newPassword = sh(
                        script: "vault read -field=password sys/tools/random/password length=32 symbols=true",
                        returnStdout: true
                    ).trim()

                    // 3. 将凭证写入指定Vault路径
                    sh """
                        vault write \${VAULT_TARGET_PATH} \
                            username='new-service-account' \
                            password='${newPassword}' \
                            -token=${tempToken}
                    """

                    // 4. 主动撤销临时Token，降低泄露风险
                    sh "vault token revoke ${tempToken}"
                }
            }
        }
    }
}

安全注意事项 #

• 所有Vault认证信息（Role ID、Secret ID等）必须存在Jenkins凭证管理中，禁止硬编码在代码里
• 使用临时Token完成操作后立即撤销，避免长期Token泄露
• 遵循最小权限原则：仅给Jenkins的Vault账号授予目标路径的写入权限，不要开放全局权限
• 确保Vault服务端开启HTTPS，防止传输过程中凭证被窃听

内容的提问来源于stack exchange，提问作者Joe Ksana