ExternalSecret报错‘secret not found’：无法从Vault创建Secret求助

1. 修复ExternalSecret的YAML语法错误 #

你的ExternalSecret配置存在缩进错误，导致字段解析异常，这是核心问题之一：

# 错误写法
- remoteRef:
    secretKey: secret-ape-username
      key: secret-ape
      property: secret-ape-username

key和property属于remoteRef的直接子字段，需与secretKey同级，正确配置如下：

apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: ape-external-secrets
  namespace: ape-test
spec:
  data:
  - remoteRef:
      secretKey: secret-ape-username
      key: secret-ape
      property: secret-ape-username
  - remoteRef:
      secretKey: secret-ape-password
      key: secret-ape
      property: secret-ape-password
  refreshInterval: 1h
  secretStoreRef:
    kind: SecretStore
    name: ape-vault-eso
  target:
    creationPolicy: Owner
    name: secret-ape

2. 修正SecretStore的Vault路径配置 #

对于Vault KV v2引擎，spec.provider.vault.path应填写KV引擎的挂载点，而非具体secret的路径。假设你的KV引擎挂载在kv路径，需修改SecretStore配置：

apiVersion: external-secrets.io/v1beta1
kind: SecretStore
metadata:
  name: ape-vault-eso
  namespace: ape-test
spec:
  provider:
    vault:
      auth:
        kubernetes:
          mountPath: k8s-dv1
          role: ape-app-kv-ro
          serviceAccountRef:
            name: ape-svc-dv
      path: kv  # 改为KV引擎挂载点
      server: 'https://dv-vault.xyz.local'
      version: v2

3. 验证Vault端配置 #

• 确认目标secret存在：检查Vault中是否存在kv/data/secret-ape（KV v2的secret路径格式为{挂载点}/data/{secret名称}），且该secret包含secret-ape-username和secret-ape-password两个字段。
• 检查权限策略：确保ape-app-kv-ro角色绑定的policy允许读取目标secret，示例policy需包含：

  path "kv/data/secret-ape" {
    capabilities = ["read"]
  }
  

• 核对K8s认证绑定：验证Vault中k8s-dv1挂载点的ape-app-kv-ro角色，是否正确绑定了ape-test命名空间下的ape-svc-dv服务账号，角色配置示例：

  vault write auth/k8s-dv1/role/ape-app-kv-ro \
    bound_service_account_names=ape-svc-dv \
    bound_service_account_namespaces=ape-test \
    policies=ape-app-kv-ro-policy \
    ttl=1h
  

4. 查看Operator日志定位细节 #

通过查看External Secrets Operator的Pod日志，获取更精准的错误信息：

# 替换为Operator所在命名空间
kubectl logs -n external-secrets -l app.kubernetes.io/name=external-secrets

日志会明确提示是认证失败、权限不足还是secret不存在等具体问题。

内容的提问来源于stack exchange，提问作者Kevin B