接入 OpenBao 受鉴权监控并修复快照续期 #162

2026-09-25T20:03:03Z

panxiao81 commented

2026-09-25 20:03:03 +00:00

OpenBao 原先未启用 Prometheus telemetry，快照任务因旧 token 失效持续 403，且脚本没有 periodic token 续期。

增加显式 telemetry、只读 metrics policy 和绑定 vmagent-main 的 Kubernetes auth role。Bao Agent sidecar 自动登录/续期，token 仅存 Pod 内存卷；ServiceMonitor 采集外部 VM，PrometheusRule 检测目标失败或消失。快照每天先续期，成功后原子保存，失败保留已有快照。

验证：Kustomize、规则检查、server dry-run、Terraform fmt 通过；现场 2.6.1 配置校验通过。已恢复快照并核对 VM 外副本 checksum；metrics 身份登录和续期成功，业务秘密访问返回 403。维护者确认后于 2026-09-25 20:34 UTC 重启并人工解封，health 和受鉴权 metrics 均为 200，ESO store 与 12 个 ExternalSecret Ready。

本次 policy/role 先按同名 API 应用验证，提供 import blocks 供既有 Terraform state 纳管；完整 Terraform plan/apply 未执行。合并后验证实际 Agent、连续采集和规则加载。Endpoints 沿用当前 converter 的发现方式。

runbook：https://git.ddupan.top/panxiao81/homelab-wiki/src/branch/main/guides/openbao-monitoring-maintenance.md

OpenBao 原先未启用 Prometheus telemetry，快照任务因旧 token 失效持续 403，且脚本没有 periodic token 续期。增加显式 telemetry、只读 metrics policy 和绑定 vmagent-main 的 Kubernetes auth role。Bao Agent sidecar 自动登录/续期，token 仅存 Pod 内存卷；ServiceMonitor 采集外部 VM，PrometheusRule 检测目标失败或消失。快照每天先续期，成功后原子保存，失败保留已有快照。验证：Kustomize、规则检查、server dry-run、Terraform fmt 通过；现场 2.6.1 配置校验通过。已恢复快照并核对 VM 外副本 checksum；metrics 身份登录和续期成功，业务秘密访问返回 403。维护者确认后于 2026-09-25 20:34 UTC 重启并人工解封，health 和受鉴权 metrics 均为 200，ESO store 与 12 个 ExternalSecret Ready。本次 policy/role 先按同名 API 应用验证，提供 import blocks 供既有 Terraform state 纳管；完整 Terraform plan/apply 未执行。合并后验证实际 Agent、连续采集和规则加载。Endpoints 沿用当前 converter 的发现方式。 runbook：https://git.ddupan.top/panxiao81/homelab-wiki/src/branch/main/guides/openbao-monitoring-maintenance.md

panxiao81 added 1 commit 2026-09-25 20:03:05 +00:00

准备 OpenBao 受鉴权监控与快照续期修复

ansible / collection-test (pull_request) Successful in 2m46s

Details

ansible / lint (pull_request) Successful in 5m53s

Details

005d8341ed

panxiao81 added 1 commit 2026-09-25 20:33:24 +00:00

适配 Bao 续期命令并纳入已验证的监控身份

yaml / yaml (pull_request) Successful in 33s

Details

terraform / validate (pull_request) Successful in 1m41s