А как вы решили вопрос с auto-unseal в hacorp vault на k8s ?

Херню написал. Если хочешь автоансил, то грош цена такому хранилищу секретов.

Т.е. ты предлагаешь держать в штате 3 дежурных, которые должны в случае рестарта кластера ввести эти три ключа ?

Yep.

Если у тебя ключ шифрования в открытом виде хранится, то достаточно его скопировать, и все твои секреты больше не секреты. Поэтому волт этот ключ никуда не записывает, а держит в памяти. И чтобы он попал в память, нужно провести процедуру растюленивания.

я придумал мега фичу =)
храним эти компоненты в ansible vault и при рестарте ansible-ом растюлениваем.

ну и конечно, отпадает вариант с написанием скриптов и прочих сторонних костылей.

это не совсем костыль
все будет храниться в другом вольте.
а это секьюрно.

А что произойдёт с тем волтом в случае перезапуска? Олсо, зачем держать волт кубернетисе, если он у тебя регулярно перезапускается?

Волт в кубере нужен. Нужен отказоустойчивый волт.
Для этого нужен кластер. При тестах выяснилось что кластер кластером, а новая нода не поднимается.

достаточно его скопировать, и все твои секреты больше не секреты

тут еще такой момент, ключ для ансила может делать только ансил
т.е. даже если ты растюленил твои секреты все еще секреты.
p.s. да, я быстрый =)