GitLab CI使用内置方法无法获取Vault secrets问题咨询

排查与解决方案 #

1. 修正Vault密钥配置格式

你当前使用的简写配置未规范声明字段和引擎版本，是最常见的失败原因，建议改用完整配置写法：

test:
  stage: validate
  secrets:
    TESTSECRET:
      vault:
        path: gitlab-ci/TEST_SEC
        field: value
        engine:
          name: kv-v2 # 若使用KV v1引擎请改为kv-v1
          path: $SECRET_MOUNT
  script:
    - echo $TESTSECRET

如果要使用简写格式，需满足两个条件：使用KV v2引擎、$SECRET_MOUNT为项目/组级CI变量，写法如下：

vault: gitlab-ci/TEST_SEC/value@$SECRET_MOUNT

2. 补充JWT认证路径配置

如果你的Vault JWT认证方法没有挂载在默认的auth/jwt路径下，需要在CI变量中新增VAULT_AUTH_PATH参数，值为你的JWT挂载路径后缀（比如挂载在auth/gitlab下则填gitlab）。

3. 检查CI变量作用域配置

VAULT_SERVER_URL、VAULT_AUTH_ROLE、SECRET_MOUNT三个变量需满足以下要求：

• 不要设置为仅保护分支/仅保护标签可用，除非当前作业运行的分支属于保护分支
• 不要设置为掩码变量，部分版本GitLab的内置密钥拉取逻辑无法正确读取掩码变量
• 必须配置为项目或组级别的CI变量，不能写在.gitlab-ci.yml的variables块中，secrets字段的解析逻辑早于yml内变量的加载阶段，yml内定义的变量无法被识别。

4. 确认GitLab版本兼容性

• KV v2引擎支持需要GitLab 13.4及以上版本
• 自定义JWT认证路径支持需要GitLab 15.9及以上版本
  版本低于要求时会出现无报错但密钥注入失败的情况。

内容的提问来源于stack exchange，提问作者G_G