Vault Agent Injector

Définition

HashiCorp Vault Agent Injector est un composant Kubernetes qui permet d'injecter automatiquement des secrets HashiCorp Vault dans les pods Kubernetes comme fichiers ou variables d'environnement, sans modifier le code des applications. Il utilise un MutatingWebhookConfiguration pour intercepter la création de pods annotés et injecter un conteneur init et un conteneur sidecar Vault Agent. L'Agent Injector s'active via des annotations sur les pods : vault.hashicorp.com/agent-inject: "true" active l'injection, vault.hashicorp.com/role spécifie le rôle Vault à utiliser pour l'authentification, et vault.hashicorp.com/agent-inject-secret-<name> spécifie le chemin du secret dans Vault. Le Vault Agent s'authentifie à Vault via Kubernetes Auth Method (en utilisant le token du ServiceAccount Kubernetes), récupère les secrets, et les écrit dans un volume partagé accessible par l'application. L'avantage de l'approche Vault Agent par rapport aux External Secrets Operator ou aux Sealed Secrets est que les secrets ne sont jamais stockés dans Kubernetes (pas de Secret native) : ils sont uniquement présents dans le volume partagé éphémère du pod. Si le pod est arrêté, les secrets disparaissent. Cette approche est la plus sécurisée car elle ne laisse aucune trace des secrets dans l'API Kubernetes ou dans etcd. Vault Agent supporte le renouvellement automatique (renewal) des secrets avec TTL court : pour les secrets dynamiques Vault (credentials de base de données générés à la demande avec une durée de vie limitée), l'Agent renouvelle automatiquement le bail (lease) avant son expiration. L'application n'a pas conscience de ce renouvellement : elle lit simplement le fichier de secret qui est mis à jour transparente par l'Agent. La configuration de Vault Kubernetes Auth Method nécessite que Vault ait accès à l'API Kubernetes pour vérifier la validité des tokens de ServiceAccount. Les rôles Vault définissent quels ServiceAccounts Kubernetes (identifiés par leur namespace et leur nom) peuvent s'authentifier et quelles policies Vault ils obtiennent.