Helm部署中Dapr SecretStore无法找到本地密钥文件问题咨询

微服务应用接入Dapr过程中出现密钥读取异常，简化场景如下：

• 应用包含Service A、Service B两个服务，Service A需要使用密钥连接Service B
• Service A调用通过Kubernetes注解自动注入的Sidecar时，Sidecar可正常识别到SecretStore构建块，但SecretStore始终无法找到指定的本地密钥文件
• 已尝试配置相对路径、绝对路径两种方式，测试相对路径时覆盖了多种可能的路径起始位置，仍无法定位目标文件

测试环境信息 #

• 环境1：Windows Docker Desktop搭载的Kubernetes 1.24集群，使用4.9.1版本microk8s，通过Helm（先后测试3.8.2、3.9.1版本）管理应用部署
• 环境2：Linux虚拟机环境复现测试，得到完全相同的结果：两种路径配置均无法找到目标密钥文件

当前Helm Chart结构 #

helm-app
├── Service-A
│   ├── Charts
│   └── Templates
│       └── Deployment（配置了Sidecar注入注解）
├── Service-B
│   ├── Charts
│   └── Templates
└── Dapr
    ├── Charts
    └── Templates
        └── Deployment（本质为Dapr组件描述配置）

• 已查阅Helm与Dapr官方公开文档，未找到同类配置方案参考，需要定位配置错误。

核心配置错误点 #

• 错误使用Kubernetes Deployment资源承载Dapr组件配置：Dapr的SecretStore属于Dapr自定义组件资源（CRD），资源Kind固定为Component，不属于Deployment这类工作负载资源。你当前把组件描述写在Deployment模板里部署，根本不会被Dapr控制面识别为合法组件，你看到的"Sidecar定位到SecretStore构建块"是集群内残留的同名空配置/默认初始化的占位组件，根本没有加载你写的路径配置，自然找不到文件。
• 路径配置的基准认知错误：本地文件类型SecretStore读取文件的路径，是Dapr Sidecar容器内部的文件系统路径，既不是你的宿主机路径，也不是Service A业务容器内的路径。你如果只把密钥文件挂载到业务容器，Sidecar容器里根本不存在这个文件，配什么路径都读不到。

修复步骤 #

1. 修正Dapr组件的资源类型：把原来放在Dapr/Templates下的Deployment模板替换为Kind为Component的Dapr组件配置模板，配置好SecretStore的类型为本地文件存储，部署后执行kubectl get components -n <你的业务命名空间>确认组件状态为已注册。
2. 给Sidecar正确挂载密钥文件：在Service A的Deployment模板中，先定义好存放密钥文件的Volume（可以用ConfigMap、Secret或者hostPath，按你的安全需求选择），然后在Pod的Dapr注入注解中添加dapr.io/volume-mounts: "secret-store:<Sidecar内的挂载目录路径>"，把这个Volume同时挂载到Dapr Sidecar容器中。
3. 修正组件内的路径配置：组件配置里的文件路径直接填上一步配置的Sidecar内的绝对路径（比如/secret-store/your-key-file），不要用相对路径，避免Sidecar工作目录变动导致读取失败。
4. 重启Service A的Pod触发Sidecar重新注入，查看Sidecar日志确认无文件读取报错即可。

内容的提问来源于stack exchange，提问作者Christian