18、深入探索外部秘钥管理工具与Kubernetes的集成

深入探索外部秘钥管理工具与Kubernetes的集成

1. HashiCorp Vault 基础介绍

1.1 开发模式与生产模式对比

HashiCorp Vault 运行模式分为开发模式和生产模式，二者特性差异明显：
| 模式 | 高可用性 | 解封状态 | 解封密钥 | 初始化状态 | 数据存储 |
| — | — | — | — | — | — |
| 开发模式 | 缺乏 | 默认解封 | 单解封密钥 | 默认初始化 | 内存 |
| 生产模式 | 具备（通过 Raft 协议） | 需手动解封 | 多解封密钥（使用 Shamir 算法） | 手动初始化 | 多种存储方式 |

1.2 初始化、密封与解封

• 初始化 ：生成根密钥，加密后存储在存储后端。解封密钥使用 Shamir 秘密共享算法分割成多个份额，分布在集群中。

graph LR
    classDef startend fill:#F5EBFF,stroke:#BE8FED,stroke-width:2px;
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;
    A([开始初始化]):::startend --> B(生成根密钥):::process
    B --> C(加密根密钥):::process
    C --> D(存储加密根密钥):::process
    D --> E(分割解封密钥为份额