Docker部署Vault实现密钥自动化注入，核心是应用启动时按需获取密钥：需Vault服务就绪（持久化+策略）、身份认证打通（K8s SA或AppRole）、应用调用API动态注入，并结合CI/CD实现密钥轮换。
用Docker部署Vault实现密钥自动化注入，核心在于让应用容器在启动时“按需获取”密钥，而不是把密钥写死或挂载进镜像。这需要Vault服务就绪、身份认证打通、以及应用侧配合调用，整个链路是可编程、可审计、可轮换的。
确保Vault服务已安全就绪
自动化注入的前提是Vault本身稳定可用，且配置了持久化存储和基础策略。开发测试可用-dev模式快速验证，但生产必须使用真实初始化流程：
- 用
docker-compose.yml声明Vault服务，挂载./vault_data:/vault/data保证数据不丢失 - 禁用
-dev模式后，首次启动会处于Sealed: true状态，需执行vault operator init生成unseal密钥和root token - 用
vault operator unseal输入至少3个密钥完成解锁，再用root token登录并启用kv-v2引擎 - 创建专用策略（如
app-reader），只允许读取secret/data/app/*路径下的密钥
配置应用身份认证方式
密钥不能靠token硬传，而应由应用自身“证明身份”来换取访问权限。推荐两种轻量又实用的方式：
- Kubernetes Service Account：若运行在K8s中，启用Vault的Kubernetes auth method，将ServiceAccount的JWT作为凭证，Vault据此绑定策略
-
AppRole：适合非K8s环境。先在Vault中创建role并分配策略，再用
vault write auth/approle/role/myapp secret_id_ttl=24h token_num_uses=10生成role_id和一次性secret_id；应用启动时用这两个值登录获取短期token
在应用容器中实现密钥注入
注入不是靠挂载文件，而是启动时调用Vault API动态获取，并写入内存或临时文件供进程读取：
- 在应用镜像的
ENTRYPOINT脚本中加入curl调用：vault kv get -format=json secret/data/app/config | jq -r '.data.data.password' - 使用官方
vault-k8ssidecar（K8s场景）：它自动监听Vault token过期，静默刷新，并将密钥以文件形式挂载到共享volume - 避免在容器内长期保存token，每次启动都重新登录获取新token，生命周期与Pod一致
结合CI/CD实现密钥自动轮换
真正自动化不止于“注入”，还包括“更新”。Vault支持动态密钥后，数据库、云凭证等可交由它全权管理：
- 启用
databasesecrets engine，配置MySQL连接池，应用每次请求database/creds/readonly都会拿到一组新凭据 - 设置
lease_duration为1小时，搭配应用端重试逻辑，自然实现滚动更新 - 配合Webhook或定时任务，定期触发
vault write -f database/rotate-root轮换后端主密钥
