Михаил Кажемский на DevOpsConf 2025

Vault8s: доставляем секреты из Hashicorp Vault в Kubernetes

Безопасность, DevSecOps

Google Outlook Apple

Доклад принят в программу конференции

Мнение Программного комитета о докладе

Мы довольно много времени и сил уделяем тому, как правильно доставлять чувствительные креденшелы внутрь приложения. На рынке довольно много решений для того, чтобы их прокидывать в Kubernetes, вот мы на них и посмотрим и обсудим их плюсы и минусы.

Целевая аудитория

Доклад подойдет тем, кто уже «дорос» для внедрения Hashicorp Vault, живет в кубере и раздумывает над способами доставки секретов из волта до подов.

Тезисы

Hashicorp Vault является де-факто стандартом хранения чувствительных данных. Интегрируется он примерно с чем угодно и, естественно, с другим фактическим стандартом размещения нагрузки — Kubernetes.

Инструментов для интеграции Hashicorp Vault с Kubernetes существует немало, и каждый обладает своими преимуществами и недостатками, поэтому в докладе я рассмотрю и сравню популярные инструменты доставки секретов из Hashicorp Vault:
* External Secrets Operator;
* Hashicorp Vault Secrets Operator;
* Hashicorp Vault Agent Injector;
* Hashicorp Vault CSI Provider;
* (Banzai Cloud) Bank Vaults-Vault Secrets Webhook.

Для каждого из инструментов приведу пример настройки, рассмотрю, как именно доставляется секрет до приложения и принцип работы инструмента. Сравню инструменты с точки зрения механизмов ротации секретов, а также удобства использования. Подсвечу ограничения инструментов.

Михаил Кажемский

Hilbert Team

DevOps Lead Hilbert Team. В прошлом разработчик. Победитель «Технотекст 2023» от Хабр в категории «Информационная безопасность». Соавтор курсов Yandex Cloud — «DevSecOps в облачном CI/CD», «Аутентификация и управление доступами», «Managed Service for ClickHouse», «Масштабирование нагрузки в K8s», «Контейнеризация с Docker».

Hilbert Team

Hilbert Team — провайдер IT-решений для крупного и среднего бизнеса в области облачных технологий, DevOps, DevSecOps, DataOps, MLOps и FinOps. Комплексно решают задачи заказчиков и помогают им достигать бизнес-целей с помощью: * внедрения российских и Open Source IT-продуктов, * обучения сотрудников, * поддержки и сопровождения. Инженеры Hilbert Team активно участвуют в развитии отрасли: совместно с Yandex Cloud разрабатывают бесплатные отраслевые курсы на Яндекс Практикум по направлениям DevOps, Data и Security.