如何在Jenkins中拉取Vault密钥实现Helm部署且不生成明文YAML文件

方案1：最小改造成本（无本地文件落盘，复用现有工具） #

你可以直接把dockcmd拉取到的密钥内容通过Linux管道直接传给helm命令，全程内容仅在内存中传输，不会生成任何本地明文文件：

dockcmd vault get-secrets --vault-addr https://vault --set TargetEnv=prod --input-file secret-values.yaml | helm upgrade --install <你的release名称> <你的chart路径> -f -

其中-f -参数表示helm从标准输入读取values配置内容，整个流程结束后Jenkins工作区不会残留任何敏感文件。如果需要同时传递其他非敏感的公共values文件，可以叠加多个-f参数，比如：

dockcmd vault get-secrets --vault-addr https://vault --set TargetEnv=prod --input-file secret-values.yaml | helm upgrade --install my-release ./my-chart -f ./public-values.yaml -f -

方案2：长期最优（CI流程完全不接触明文密钥） #

直接将密钥处理逻辑下沉到Kubernetes集群层面，Jenkins和Helm部署流程全程不需要读取明文凭证，从根源避免泄露风险，可选两种实现：

• Vault Agent Injector方案：在集群内部署Vault官方的Sidecar注入组件，仅需要在Helm Chart的Pod模板中添加对应的Vault注解，部署时Vault会自动将密钥注入到Pod的内存文件系统中，不需要在CI阶段做任何密钥拉取操作。
• Secrets Store CSI Driver方案：部署符合CSI标准的Secret存储驱动，配合Vault Provider，直接将Vault中的密钥映射为Kubernetes原生Secret或者直接挂载到Pod的文件系统，CI阶段仅需要传递密钥的路径标识即可，不需要接触明文内容。

内容的提问来源于stack exchange，提问作者Oplop98