概述

此镜像用作认证边车容器，允许Pod中的应用容器获取Conjur访问令牌。应用可使用该访问令牌调用Conjur服务。

该镜像作为边车或初始化容器运行，负责向Conjur认证并将Conjur访问令牌写入/run/conjur/access-token。此访问令牌通过卷挂载与Pod的应用容器共享。

完整文档：

• Conjur开源文档：[***]
• AAM动态访问提供商（企业版）文档：[***]

GitHub项目：[***]

配置

边车容器的配置通过环境变量应用。

注意：在此示例中，必须加载名为conjur/authn-k8s/gke-prod的Conjur策略，并允许主机namespace01/deployment/myappread对该策略中定义的Web服务拥有execute权限。详细信息请参考文档。

卷

路径/run/conjur应作为共享卷挂载在应用容器和边车容器之间。应用容器只需读权限。

文件/run/conjur/access-token可被summon-conjur直接读取，作为环境变量CONJUR_AUTHN_TOKEN_FILE。

文件内容也可通过Conjur Ruby API客户端读取，如下所示：

require 'conjur-api'

Conjur.configuration.apply_cert_config!
token = JSON.parse(File.read("/run/conjur/access-token"))
api = Conjur::API.new_from_token(token)
puts api.variable("inventory-db/password").value

此边车容器将每5分钟刷新一次令牌。

使用Conjur认证令牌时，无需指定用户或主机身份。