feat(security): Vault standalone+raft на proxmox-csi, чарт из git

2026-09-17 16:53:30 +00:00
parent 0bc8b03df2
commit f7471fb105
7 changed files with 152 additions and 0 deletions
@@ -0,0 +1,70 @@
+---
+apiVersion: helm.toolkit.fluxcd.io/v2
+kind: HelmRelease
+metadata:
+  name: vault
+spec:
+  interval: 1h
+  chart:
+    spec:
+      chart: .
+      version: 0.34.1
+      sourceRef:
+        kind: GitRepository
+        name: vault-helm
+  install:
+    crds: CreateReplace
+  upgrade:
+    crds: CreateReplace
+    cleanupOnFail: true
+    remediation:
+      retries: 3
+      # Упавший первый релиз без этой настройки залипает: Flux пытается
+      # откатиться, предыдущей ревизии нет и HelmRelease навсегда остаётся False.
+      strategy: uninstall
+  values:
+    global:
+      enabled: true
+      tlsDisable: true
+      # authDelegator включает auth-метод kubernetes (service account -> токен Vault):
+      # через него External Secrets Operator будет читать секреты без хранения
+      # пароля/токена Vault в sops.
+      authDelegator:
+        enabled: true
+    # Агент-инжектор не используем — секреты раздаёт ESO.
+    injector:
+      enabled: false
+    csi:
+      enabled: false
+    server:
+      # Один под и один PVC на ZFS-зеркале (rpool через StorageClass
+      # proxmox-local-zfs) с интегрированным raft-хранилищем — single-node Vault.
+      standalone:
+        enabled: true
+        config: |
+          ui = true
+
+          listener "tcp" {
+            tls_disable     = 1
+            address         = "[::]:8200"
+            cluster_address = "[::]:8201"
+          }
+
+          storage "raft" {
+            path = "/vault/data"
+          }
+
+          service_registration "kubernetes" {}
+      dataStorage:
+        enabled: true
+        size: 5Gi
+        storageClass: proxmox-local-zfs
+        accessMode: ReadWriteOnce
+      service:
+        enabled: true
+      resources:
+        requests:
+          cpu: 100m
+          memory: 256Mi
+        limits:
+          memory: 1Gi