Как работает внедрение sidecar в контексте Vault?

Внедрение sidecar в контексте Vault — это паттерн, при котором отдельный контейнер (sidecar) развертывается совместно с основным контейнером приложения в составе одного пода (например, в Kubernetes). Этот sidecar-контейнер отвечает за взаимодействие с Vault, выполнение операций аутентификации и получения секретов от имени основного приложения.

Ключевые аспекты работы:

1. Развертывание: Sidecar-контейнер добавляется в определение пода наравне с контейнером приложения.
2. Инициализация: Sidecar-контейнер обычно запускается до основного приложения или одновременно с ним. Он первым выполняет задачи, связанные с Vault.
3. Аутентификация: Sidecar использует методы аутентификации Vault для работы в Kubernetes (например, Kubernetes Auth Method). Он получает токен Vault.
4. Получение секретов: Sidecar использует полученный токен для чтения секретов из Vault.
5. Предоставление секретов приложению: Sidecar может предоставлять секреты приложению различными способами:
   • Запись файлов в общий том, который монтируется обоим контейнерам.
   • Инъекция переменных окружения.
   • Предоставление локального HTTP-интерфейса, куда приложение может обращаться за секретами.
6. Обновление секретов: Sidecar может периодически обновлять секреты, полученные из Vault, и уведомлять или обновлять файлы/переменные для основного приложения.
7. Изоляция: Основное приложение не нуждается в прямой связи с Vault и не содержит логики аутентификации/получения секретов. Вся эта ответственность лежит на sidecar.
8. Минимизация прав: Основное приложение может работать с минимальными правами, так как взаимодействие с Vault делегировано sidecar.

Пример использования с Kubernetes и Vault Agent Injector:

Vault Agent Injector — это контроллер Kubernetes, который автоматически изменяет определения подов при их создании, добавляя sidecar-контейнер Vault Agent.

1. Приложение имеет аннотации в манифесте Deployment:

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: my-app
   spec:
     ...
     template:
       metadata:
         annotations:
           vault.hashicorp.com/agent-inject: "true"
           vault.hashicorp.com/role: "my-app-role"
           vault.hashicorp.com/agent-inject-template-secrets: |
             {{- with secret "secret/data/myapp/config" -}}
             DB_USER={{ .Data.data.db_user }}
             DB_PASSWORD={{ .Data.data.db_password }}
             {{- end -}}
   # ... остальная часть манифеста
   

2. Vault Agent Injector перехватывает создание пода и добавляет sidecar-контейнер vault-agent и init-контейнер vault-agent-init.

3. vault-agent-init (для получения секретов до старта основного контейнера) или vault-agent (для динамических секретов и обновления) выполняет:

   • Аутентификацию в Vault с использованием токена пода Kubernetes и указанной role.
   • Чтение секрета secret/data/myapp/config.
   • Рендеринг шаблона и запись переменных окружения (в данном примере) или файла с секретами в общий volume /vault/secrets.

4. Основной контейнер приложения монтирует этот volume и читает секреты из файла или получает их из переменных окружения.

Преимущества:

• Централизация логики работы с Vault в sidecar.
• Уменьшение сложности кода у приложения.
• Автоматическое обновление токенов и секретов.
• Изоляция рисков безопасности.