Kubernetes环境下HashiCorp Vault密钥无法获取问题求助

核心问题定位与修复 #

1. 注入文件路径不匹配 #

你的args中尝试加载/vault/secrets/config，但根据注解配置vault.hashicorp.com/agent-inject-secret-MY-SECRET，Vault Agent生成的密钥文件实际路径是/vault/secrets/MY-SECRET，而非config。

修改args为：

args:
    ["sh", "-c", "source /vault/secrets/MY-SECRET && MY_ENTRYPOINT"]

2. 适配KV引擎版本调整模板语法 #

如果你的Vault使用KV v2引擎，密钥存储结构会嵌套一层data，模板取值语法需要调整：

vault.hashicorp.com/agent-inject-template-MY-SECRET: |
     {{ with secret "secret/mysecret/secrets" -}}
       export username={{ .Data.data.username}}
       export password={{ .Data.data.password }}
     {{- end }}

若KV v2引擎要求显式指定data路径，同步修改注入路径：

vault.hashicorp.com/agent-inject-secret-MY-SECRET: 'secret/data/mysecret/secrets'

3. 验证AppRole认证文件可用性 #

确保/vault/custom/role-id和/vault/custom/secret-id已正确挂载到Pod：

• 检查Pod的Volume配置，确认存储role-id/secret-id的Secret/ConfigMap已挂载到/vault/custom路径
• 进入Pod执行cat /vault/custom/role-id和cat /vault/custom/secret-id，验证文件内容有效

4. 检查Vault角色权限 #

确认myrole关联的Policy拥有读取目标密钥路径的权限，示例Policy规则：

# KV v1引擎规则
path "secret/mysecret/secrets" {
  capabilities = ["read"]
}

# KV v2引擎规则
path "secret/data/mysecret/secrets" {
  capabilities = ["read"]
}

5. 查看Agent调试日志定位细节 #

已开启log-level: debug，可查看Vault Agent容器日志：

kubectl logs <pod-name> -c vault-agent

重点关注：

• AppRole认证是否成功（搜索approle关键字）
• 密钥读取是否出现权限错误（搜索permission denied）
• 模板渲染是否存在异常（搜索template关键字）

内容的提问来源于stack exchange，提问作者Container-Man