Vault agent inject k8s secrets mais pods en CrashLoopBackOff

Question

yo la team ! j'ai un truc qui me rend fou. je suis en train de configurer vault agent pour injecter des secrets dans nos pods k8s mais les pods démarrent pas. ils restent en CrashLoopBackOff et les logs disent que les secrets sont pas trouvés ou qu'il y a une erreur de mount. j'ai bien mis les annotations et le service account a les droits. je sèche grave
# annotations exemple sur le pod
annotations:
  agent.vaultproject.io/inject: "true"
  agent.vaultproject.io/template: |
    {{- with secret "kv/data/my-app/config" -}}
    DB_PASSWORD="{{ .Data.data.db_password }}"
    {{- end -}}

vrenaud · Answer

hello ! verifie ta policy vault pour le role k8s. faut que le service account du pod ait les bons droits pour lire le chemin kv/data/my-app/config. et assure-toi que ton agent sidecar se lance bien avant l'app principale. des fois l'app essaie de lire avant que l'agent ait eu le temps d'écrire

sallain · Answer

ouais et t'as regardé les logs du vault agent lui-même dans le sidecar ? pas juste ceux de l'app. des fois l'agent arrive pas à contacter le serveur vault ou il a des erreurs d'auth. un proxy ou un firewall pourrait bloquer l'accès

frederique-valette · Answer

vérifie aussi la version de vault agent. y'a eu des breaking changes avec des versions de k8s ou de vault. des fois un mismatch et ça casse tout. et ton rôle k8s est bien mappé au service account que le pod utilise ?

nicole-dubois · Answer

bon j'ai revérifié tout ça. les policies vault sont bonnes. l'annotation et le service account aussi. les logs du sidecar, après avoir augmenté le niveau de debug, montrent un souci de connexion réseau au serveur vault. on a un proxy http en place et il bloquait les requêtes https de l'agent vers vault. j'ai ajouté l'ip de vault aux exceptions du proxy et bam les secrets sont injectés et les pods démarrent. merci à tous pour les pistes !

Vault agent inject k8s secrets mais pods en CrashLoopBackOff

4 commentaires

Laisser une réponse

Introduction du cours pour apprendre le langage programmation GO

La programmation orientée objet dans le langage de programmation Go

Comment se préparer à la certification AWS Solution Architecte Associate + Cheat Sheet

NetworkPolicy (Firewall interne des pods kubernetes)

Bases de Données sur Kubernetes : Miracle ou Mirage Architectural ?

Rejoindre la communauté