Vault Agent Injector とは？

vault agent injector は、アノテーションが付いた pod を変更して vault agent の sidecar を追加する admission webhook です。sidecar は pod のアイデンティティを使って Vault へ認証し、要求された secret を取得して、アプリケーションの container が読み取る共有のインメモリボリュームにレンダリングします。secret をクラスターの secret store の外に保ち、期限切れになると更新します。

なぜ重要か

インジェクションにより、image や env var に埋め込むことなく、短命で動的に生成される secret をアプリに届けられます。sidecar は更新も処理するため、長時間の実行中に lease が失効しません。

関連ガイド