HashiCorp Vault与K8s集成部署webapp时权限及连接问题求助

一、本地无法连接Vault（curl/vault命令提示连接被拒绝） #

• 检查Vault服务访问限制：默认Vault使用ClusterIP类型服务，仅允许集群内部访问，本地无法直接通过http://vault.default:8200连接。需通过端口转发暴露端口：

  kubectl port-forward service/vault 8200:8200
  

  转发完成后，再执行vault status或curl http://localhost:8200/v1/sys/seal-status测试连接。
• 验证Pod内部Vault可用性：先确认Vault容器自身运行正常，执行：

  kubectl exec -it vault-0 -- curl http://localhost:8200/v1/sys/seal-status
  

  若返回密封状态相关信息，说明Vault服务本身无异常。
• 核对服务端口映射：检查Vault Service的targetPort是否与容器监听端口匹配：

  kubectl describe service vault
  

  确认TargetPort为8200，与Vault日志中显示的监听端口一致。

二、webapp Pod挂载Secret卷时的403权限拒绝 #

• 确认Kubernetes Auth方法配置：在Vault容器内检查Auth方法是否启用，以及配置是否正确：

  kubectl exec -it vault-0 -- vault auth list
  kubectl exec -it vault-0 -- vault read auth/kubernetes/config
  

  确保kubernetes_host指向正确的Kubernetes API地址（通常为https://kubernetes.default.svc:443）。
• 检查Role关联的Policy权限：查看webapp对应的Vault Role绑定的Policy，确认是否包含secret/data/db-pass的读取权限：

  kubectl exec -it vault-0 -- vault policy read <webapp-role-policy-name>
  

  需确保Policy中存在如下规则：

  path "secret/data/db-pass" {
    capabilities = ["read"]
  }
  

• 核对SecretProviderClass配置：检查SecretProviderClass中的roleName是否与Vault中创建的Role名称完全一致，且namespace与webapp所在namespace匹配。
• 验证ServiceAccount绑定：确认Vault Role的bound_service_account_names和bound_service_account_namespaces参数，与webapp Pod使用的ServiceAccount名称、namespace完全匹配：

  kubectl exec -it vault-0 -- vault read auth/kubernetes/role/<webapp-role-name>
  

• 测试Pod内的Vault Auth流程：临时启动一个与webapp使用相同ServiceAccount的Pod，手动测试获取Vault Token并访问密钥：

  # 启动临时测试Pod
  kubectl run test-pod --image=busybox --restart=Never --serviceaccount=<webapp-sa-name> -- sleep 3600
  # 进入Pod执行命令
  kubectl exec -it test-pod -- sh
  # 获取JWT并请求Vault Token
  JWT=$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)
  curl -s http://vault.default:8200/v1/auth/kubernetes/login -d '{"jwt":"'$JWT'","role":"<webapp-role-name>"}'
  # 使用返回的Token访问密钥
  curl -s http://vault.default:8200/v1/secret/data/db-pass -H "X-Vault-Token: <返回的token>"
  

  若此步骤返回403，说明Policy权限不足；若无法获取Token，说明ServiceAccount与Role的绑定存在问题。

内容的提问来源于stack exchange，提问作者radumanolescu