拒绝具有externalVaultAddr权限的Vault Injector
拒绝具有externalVaultAddr权限的Vault Injector
提问于 2020-03-27 13:24:43
我正在尝试从我的AWS Kubernetes集群连接Vault injector并使用injector.externalVaultAddr="http://my-aws-instance-ip:8200"登录
安装：
helm install vault \
--set='injector.externalVaultAddr=http://my-aws-instance-ip:8200' \
/path/to/my/vault-helm在完成以下必要的步骤后：https://www.hashicorp.com/blog/injecting-vault-secrets-into-kubernetes-pods-via-a-sidecar/和自定义：
vault write auth/kubernetes/config \
token_reviewer_jwt="$(cat kube_token_from_my_k8s_cluster)" \
kubernetes_host="$KUBERNETES_HOST:443" \
kubernetes_ca_cert=@downloaded_ca_crt_from_my_k8s_cluster.crtNAME READY STATUS RESTARTS AGE
app-aaaaaaa-bbbb 1/1 Running 0 34m
app-aaaaaaa-cccc 0/2 Init:0/1 0 34m
vault-agent-injector-xxxxxx-zzzzz 1/1 Running 0 35m$ kubectl logs -f app-aaaaaaa-cccc -c vault-agent-init
...
URL: PUT http://my-aws-instance-ip:8200/v1/auth/kubernetes/login
Code: 403. Errors:
* permission denied" backoff=2.769289902我也尝试过在本地手动执行此操作：
$ export VAULT_ADDR="http://my-aws-instance-ip:8200"
$ curl --request POST \
--data "{\"role\": \"myapp\", \"jwt\": \"$(cat kube_token_from_my_k8s_cluster)\"}" \
$VAULT_ADDR/v1/auth/kubernetes/login
# RESPONSE OUTPUT
{"errors":["permission denied"]}回答 1
Stack Overflow用户
发布于 2020-10-08 06:54:06
尝试使用您用于在Vault中设置Kubernetes auth的值来卷曲Kubernetes API-service。
vault write auth/kubernetes/config \
token_reviewer_jwt="$TOKEN_REVIEW_JWT" \
kubernetes_host="$KUBE_HOST" \
kubernetes_ca_cert="$KUBE_CA_CERT"
curl --cacert <ca-cert-file> -H "Authorization: Bearer $TOKEN_REVIEW_JWT" $KUBE_HOST如果这不起作用，Vault将无法与集群通信以验证令牌。
我在尝试将Vault与牧场主管理的集群集成时遇到此问题，$KUBE_HOST指向牧场主代理，因此我需要将其更改为集群的IP，并从我正在使用的服务帐户中提取令牌和证书。
页面原文内容由Stack Overflow提供。腾讯云小微IT领域专用引擎提供翻译支持
原文链接：
https://stackoverflow.com/questions/60886935
复制
相似问题
Zoho发票API不工作
JSON/EJSON错误w/ Stripe API -In发发票Web钩子事件
与ZOHO发票的集成
使用Stripe通过web钩子原谅发票
小发票api卷曲请求
添加站长 进交流群
领取专属 10元无门槛券
AI混元助手 在线答疑
关注 腾讯云开发者公众号
洞察 腾讯核心技术
剖析业界实践案例
腾讯云开发者
