Vault Agent Injector通过Mutating Webhook机制实现Sidecar自动密钥注入：先启用Kubernetes认证并配置API地址、CA证书与Token发行者，再部署Injector组件监听Pod创建请求，仅对含vault.hashicorp.com/agent-inject: "true"注解的Pod注入initContainer和sidecar容器，密钥以文件形式挂载至共享卷供应用读取。

在Kubernetes中用Vault Agent实现Sidecar自动密钥注入，核心是让Vault Agent容器作为应用Pod的伴生容器，不侵入业务代码，又能安全、动态地提供密钥。整个过程依赖Mutating Webhook机制和Kubernetes服务账户认证，不是手动挂载或写死配置。

启用并配置Vault Kubernetes认证方法

这是信任链的起点。Vault必须能验证Pod身份，而Kubernetes ServiceAccount Token就是凭证。

• 在Vault中启用Kubernetes auth：`vault auth enable kubernetes`
• 配置Vault信任集群API Server：提供Kubernetes API地址、CA证书（通常来自`/var/run/secrets/kubernetes.io/serviceaccount/ca.crt`）和ServiceAccount Token的预期发行者（如`kubernetes/serviceaccount`）
• 为特定命名空间或ServiceAccount绑定策略，例如授予`default`服务账户读取`secret/data/app/db`的权限

部署Vault Agent Injector组件

Injector是一个独立的Deployment，它监听APIServer的Pod创建请求，并按规则改写Pod定义。

Kubernetes Security Posture Scorecard

评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……

下载

• 安装官方Helm Chart或手动部署injector Deployment、Service、MutatingWebhookConfiguration等资源
• 确保MutatingWebhookConfiguration中的caBundle与集群CA一致（通常通过脚本自动生成并注入）
• Webhook默认只处理带注解`vault.hashicorp.com/agent-inject: "true"`的Pod，避免全局干扰

在Pod中声明密钥需求和注入规则

不需要修改应用镜像，只需在Pod模板的metadata.annotations里说明要什么密钥、怎么用。

• 开启注入：`vault.hashicorp.com/agent-inject: "true"`
• 指定密钥路径：`vault.hashicorp.com/agent-inject-secret-db-creds: "secret/data/app/db"`
• 可选模板定制：用`vault.hashicorp.com/agent-inject-template-db-creds`定义如何渲染成文件（如JSON、env vars）
• 指定ServiceAccount：确保Pod使用的SA已在Vault中授权，例如`serviceAccountName: vault-auth`

理解注入后的工作流

Pod启动时，Injector已插入两个容器：一个initContainer负责首次拉取密钥并生成配置；一个sidecar容器持续轮询更新，保持密钥新鲜。

• 密钥默认以文件形式挂载到共享EmptyDir卷，路径如/vault/secrets/db-creds
• 应用容器通过读取该路径下的文件获取数据库用户名、密码等，无需直连Vault
• Agent会自动处理租约续期，密钥过期前刷新；若Vault吊销路径，Agent也会同步失效本地副本