如何在Helm或Pod中打印Hashicorp Vault注入的redis_auth变量

我已通过Istio Sidecar注解配置Hashicorp Vault Agent，将Vault中的密钥捕获为环境变量redis_auth，但遇到两个问题：

1. 如何在Helm Chart中打印该变量的值做调试？
2. 尝试在容器内执行shell命令查看变量时，容器很快进入完成状态，无法持续操作。

已配置的Vault注解模板 #

metadata:
  annotations:
    sidecar.istio.io/inject: 'false'
    sidecar.istio.io/proxyCPU: 25m
    sidecar.istio.io/proxyMemory: 80Mi
    {{- if eq "azure" (lower .Values.cloudType) }}
    vault.hashicorp.com/agent-inject: "true"
    vault.hashicorp.com/role: {{ .Values.vaultRole | quote}}
    vault.hashicorp.com/agent-pre-populate-only: "false"
    vault.hashicorp.com/agent-init-first: "true"
    vault.hashicorp.com/secret-volume-path-redis-auth: "/etc/redis/certs"
    vault.hashicorp.com/agent-inject-file-redis-auth: "redis-auth"
    vault.hashicorp.com/agent-inject-secret-redis-auth: "kv/{{ .Values.vaultBasePath }}{{ .Values.redisCache }}"
    vault.hashicorp.com/agent-inject-template-redis-auth: |
      {{ "{{" }} with secret "kv/{{ .Values.vaultBasePath }}{{ .Values.redisCache }}" {{ "}}" }}
      export redis_auth={{ "{{" }} .Data.data.password {{ "}}" }}
      {{ "{{" }} end {{ "}}" }}
    {{ end }}

解决方案 #

一、在Helm Chart中调试打印变量值 #

1. 临时添加启动命令打印变量

在Pod的容器模板中，修改启动命令，先加载Vault生成的环境变量脚本，再打印值并执行原有应用命令：

containers:
- name: your-app-container
  # 保留原有镜像、端口等配置
  command: ["sh", "-c"]
  args:
    - |
      # 加载Vault Agent生成的环境变量脚本
      source /etc/redis/certs/redis-auth
      # 打印变量值到日志
      echo "DEBUG: redis_auth = $redis_auth"
      # 执行原有应用启动命令（替换为你的实际启动命令）
      exec your-app-start-command

部署后，通过Pod日志查看输出：

kubectl logs your-pod-name

2. 验证Helm模板渲染结果

用helm template命令渲染模板并查看最终YAML，确认Vault注解是否正确生成：

helm template your-chart-name --debug --set cloudType=azure

二、在Pod内部查看变量值（解决容器快速退出问题） #

容器快速退出是因为默认启动命令执行完成后就会终止，需要让容器保持运行或通过其他方式获取变量。

方法1：修改启动命令保持容器运行

修改容器启动命令，加载环境变量后保持容器存活，再进入容器查看：

containers:
- name: your-app-container
  command: ["sh", "-c"]
  args:
    - |
      source /etc/redis/certs/redis-auth
      echo "redis_auth已加载，可进入容器查看"
      # 保持容器运行
      tail -f /dev/null

部署后，进入容器执行命令查看变量：

kubectl exec -it your-pod-name -- sh
echo $redis_auth

方法2：通过Init容器导出变量到文件

添加Init容器加载环境变量并写入共享文件，业务容器直接读取该文件，无需修改原有启动命令：

initContainers:
- name: vault-env-export
  image: busybox:latest
  command: ["sh", "-c"]
  args:
    - |
      source /etc/redis/certs/redis-auth
      # 将变量值写入共享临时文件
      echo $redis_auth > /shared/redis-auth-value
  volumeMounts:
    - name: redis-auth-volume
      mountPath: /etc/redis/certs
    - name: shared-volume
      mountPath: /shared
containers:
- name: your-app-container
  # 保留原有配置
  volumeMounts:
    - name: shared-volume
      mountPath: /shared
# 定义共享卷
volumes:
- name: redis-auth-volume
  emptyDir: {}
- name: shared-volume
  emptyDir: {}

部署后，进入业务容器查看文件内容：

kubectl exec -it your-pod-name -- cat /shared/redis-auth-value

关键注意事项 #

• 确保Vault注解中secret-volume-path-redis-auth指定的路径正确，redis-auth脚本文件存在于该路径下。
• 加载环境变量必须通过source命令，且需要在shell环境中执行（即启动命令需用sh -c包裹）。

内容的提问来源于stack exchange，提问作者naman jain