71 lines
2.0 KiB
YAML
71 lines
2.0 KiB
YAML
---
|
||
apiVersion: helm.toolkit.fluxcd.io/v2
|
||
kind: HelmRelease
|
||
metadata:
|
||
name: vault
|
||
spec:
|
||
interval: 1h
|
||
chart:
|
||
spec:
|
||
chart: .
|
||
version: 0.34.1
|
||
sourceRef:
|
||
kind: GitRepository
|
||
name: vault-helm
|
||
install:
|
||
crds: CreateReplace
|
||
upgrade:
|
||
crds: CreateReplace
|
||
cleanupOnFail: true
|
||
remediation:
|
||
retries: 3
|
||
# Упавший первый релиз без этой настройки залипает: Flux пытается
|
||
# откатиться, предыдущей ревизии нет и HelmRelease навсегда остаётся False.
|
||
strategy: uninstall
|
||
values:
|
||
global:
|
||
enabled: true
|
||
tlsDisable: true
|
||
# authDelegator включает auth-метод kubernetes (service account -> токен Vault):
|
||
# через него External Secrets Operator будет читать секреты без хранения
|
||
# пароля/токена Vault в sops.
|
||
authDelegator:
|
||
enabled: true
|
||
# Агент-инжектор не используем — секреты раздаёт ESO.
|
||
injector:
|
||
enabled: false
|
||
csi:
|
||
enabled: false
|
||
server:
|
||
# Один под и один PVC на ZFS-зеркале (rpool через StorageClass
|
||
# proxmox-local-zfs) с интегрированным raft-хранилищем — single-node Vault.
|
||
standalone:
|
||
enabled: true
|
||
config: |
|
||
ui = true
|
||
|
||
listener "tcp" {
|
||
tls_disable = 1
|
||
address = "[::]:8200"
|
||
cluster_address = "[::]:8201"
|
||
}
|
||
|
||
storage "raft" {
|
||
path = "/vault/data"
|
||
}
|
||
|
||
service_registration "kubernetes" {}
|
||
dataStorage:
|
||
enabled: true
|
||
size: 5Gi
|
||
storageClass: proxmox-local-zfs
|
||
accessMode: ReadWriteOnce
|
||
service:
|
||
enabled: true
|
||
resources:
|
||
requests:
|
||
cpu: 100m
|
||
memory: 256Mi
|
||
limits:
|
||
memory: 1Gi
|