K8s Pod传递COMMAND时能否不覆盖Docker Entrypoint？Vault密钥注入场景

最优方案：直接注入环境变量（无需修改ENTRYPOINT） #

不需要生成source脚本，直接让Vault Injector把密钥转为容器环境变量，原ENTRYPOINT启动时会自动继承这些变量。

只需要在Pod/Deployment的annotations里添加以下配置：

annotations:
  # 启用Vault Agent注入
  vault.hashicorp.com/agent-inject: "true"
  # 指定要获取的Secret路径
  vault.hashicorp.com/agent-inject-secret-db-creds: "secret/data/app/db"
  # 配置模板，直接生成环境变量（不需要source）
  vault.hashicorp.com/agent-inject-template-db-creds: |
    {{- with secret "secret/data/app/db" }}
    export DB_USER="{{ .Data.data.username }}"
    export DB_PASSWORD="{{ .Data.data.password }}"
    {{- end }}
  # 关键：开启自动环境变量注入，Agent会把模板里的export语句直接加载到容器环境
  vault.hashicorp.com/agent-inject-env: "true"
  # 其他必要配置：Vault地址、Auth方法等
  vault.hashicorp.com/role: "app-role"
  vault.hashicorp.com/address: "https://vault.example.com:8200"

这样配置后，Vault Agent会自动把DB_USER和DB_PASSWORD作为环境变量注入到容器，原Dockerfile定义的ENTRYPOINT启动时就能直接读取这些变量，完全不需要修改command/args。

备选方案：用Shell Wrapper调用原ENTRYPOINT（需获取原ENTRYPOINT信息） #

如果必须用source密钥文件的方式，可以通过shell脚本先加载密钥，再调用原ENTRYPOINT，不需要修改Dockerfile。

步骤1：获取原镜像的ENTRYPOINT #

先通过docker命令查看镜像的ENTRYPOINT：

docker inspect your-app-image:tag | jq '.[0].Config.Entrypoint'

假设输出是["/app/start.sh"]，这就是原ENTRYPOINT的路径。

步骤2：配置Pod的command和args #

在K8s的容器配置里，用sh -c先source密钥文件，再exec原ENTRYPOINT（exec是为了让原ENTRYPOINT成为容器的PID 1，保证信号能正确传递）：

containers:
  - name: web
    image: your-app-image:tag
    command: ["sh", "-c"]
    args: ["source /vault/secrets/db-creds && exec /app/start.sh $@"]
    # 如果原ENTRYPOINT有默认参数（Dockerfile里的CMD），可以把参数加到args后面
    # 比如 args: ["source /vault/secrets/db-creds && exec /app/start.sh --port=8080"]

这样既加载了Vault密钥，又执行了原ENTRYPOINT，不会覆盖原逻辑。

注意事项 #

• 用exec调用原ENTRYPOINT很重要，否则原进程不是PID 1，K8s的停止信号（比如SIGTERM）无法正确传递，可能导致容器无法优雅关闭。
• 如果原ENTRYPOINT是二进制文件而非脚本，同样适用上述方案，直接exec二进制文件即可。

内容的提问来源于stack exchange，提问作者Meet101