如何解决无法将在 gke 内部Vault 映射到 Google KMS
我们希望在 GKE 集群中部署 Hashicorp Vault（由 Banzai Cloud 分叉），然后将其映射到 Cloud KMS/Firestore。 我们已经在 EKS/S3/AWS KMS 上做到了，而且运行良好。
但是，在 GKE 上，Vault Pod 正在崩溃循环并显示以下错误消息：
2021-02-09T11:36:46.455Z [WARN] storage migration check error: error="Failed to read value for "core/migration": googleapi: got HTTP response code 403 with body: <?xml version='1.0' encoding='UTF-8'?><Error><Code>UserProjectAccountProblem</Code><Message>User project billing account not in good standing.</Message><Details>The billing account for the owning project is disabled in state closed</Details></Error>"
这会给任何人敲响警钟吗？我们与计费支持人员进行了交谈，以确认我们没有任何计费问题。 此错误消息不正确，我们不知道发生了什么。
我们的一个尝试是通过以下命令使用 Helm（否则我们将直接使用 vault 运算符）：
❯ kubectl create secret -n vault generic gcp-sa-vault-json --from-literal=GOOGLE_APPLICATION_CREDENTIALS=/etc/gcp/gcp-sa-vault.json --from-file=gcp-sa-vault.json=./gcp-sa-vault.json
❯ helm install vault banzaicloud-stable/vault -n vault \
--set "vault.customSecrets[0].secretName=gcp-sa-vault-json" \
--set "vault.customSecrets[0].mountPath=/etc/gcp" \
--set "vault.config.storage.gcs.bucket=vault-ha" \
--set "vault.config.seal.gcpckms.project=our-projectID" \
--set "vault.config.seal.gcpckms.region=europe-west1" \
--set "vault.config.seal.gcpckms.key_ring=vault" \
--set "vault.config.seal.gcpckms.crypto_key=vault-unsealer" \
--set "unsealer.args[0]=--mode" \
--set "unsealer.args[1]=google-cloud-kms-gcs" \
--set "unsealer.args[2]=--google-cloud-kms-key-ring" \
--set "unsealer.args[3]=vault" \
--set "unsealer.args[4]=--google-cloud-kms-crypto-key" \
--set "unsealer.args[5]=vault-unsealer" \
--set "unsealer.args[6]=--google-cloud-kms-location" \
--set "unsealer.args[7]=europe-west1" \
--set "unsealer.args[8]=--google-cloud-kms-project" \
--set "unsealer.args[9]=our-projectID" \
--set "unsealer.args[10]=--google-cloud-storage-bucket" \
--set "unsealer.args[11]=vault-ha"
此外，据我所知，用于访问 cloud-kms 的 google 服务帐户具有正确的权限：
解决方法
在阅读@Tim Dierks 评论后，我尝试重新创建 firestore 存储桶（我已将其删除，以防 Vault 自动创建它，因为它具有存储管理员权限）并开始工作。
,我认为在您的情况下，您需要在 GCP 支持上创建支持票证，因为这是您 GCP-GKE-Hashicorp-Vault 中的一个非常具体的问题。你在遵循一些指南吗？我找到了 Hashicorp documentation，或者您正在关注另一个可以提供更多背景信息的指南？
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。
