私密后端

键值后端

Spring Cloud Vault 支持两种键值私密后端，版本化的 (v2) 和非版本化的 (v1)。键值后端允许将任意值作为键值存储进行存储。单个上下文可以存储一个或多个键值对。上下文可以分层组织。Spring Cloud Vault 会自行确定私密信息是否使用版本控制，并将路径映射到其相应的 URL。Spring Cloud Vault 允许使用应用程序名称和默认上下文名称 (application) 以及活动配置文件。

/secret/{application}/{profile}
/secret/{application}
/secret/{default-context}/{profile}
/secret/{default-context}

应用程序名称由以下属性确定

  • spring.cloud.vault.kv.application-name

  • spring.cloud.vault.application-name

  • spring.application.name

配置文件由以下属性确定

  • spring.cloud.vault.kv.profiles

  • spring.profiles.active

私密信息可以通过将它们的路径添加到应用程序名称中（用逗号分隔）来从键值后端中的其他上下文中获取。例如，给定应用程序名称 usefulapp,mysql1,projectx/aws，将使用以下每个文件夹

  • /secret/usefulapp

  • /secret/mysql1

  • /secret/projectx/aws

Spring Cloud Vault 将所有活动配置文件添加到可能的上下文路径列表中。没有活动配置文件将跳过访问具有配置文件名称的上下文。

属性按其存储方式公开（即，没有额外的前缀）。

Spring Cloud Vault 会在挂载路径和实际上下文路径之间添加 data/ 上下文，具体取决于挂载是否使用版本化的键值后端。 
spring.cloud.vault:
    kv:
        enabled: true
        backend: secret
        profile-separator: '/'
        default-context: application
        application-name: my-app
        profiles: local, cloud

  • enabled 将此值设置为 false 将禁用私密后端配置的使用

  • backend 设置要使用的私密挂载的路径

  • default-context 设置所有应用程序使用的上下文名称

  • application-name 覆盖用于键值后端的应用程序名称

  • profiles 覆盖用于键值后端的活动配置文件

  • profile-separator 在具有配置文件的属性源中分隔配置文件名称和上下文

键值私密后端可以在版本化 (v2) 和非版本化 (v1) 模式下运行。

另请参阅

Consul

Spring Cloud Vault 可以获取 HashiCorp Consul 的凭据。Consul 集成需要 spring-cloud-vault-config-consul 依赖项。

pom.xml
<dependencies>
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-vault-config-consul</artifactId>
        <version>4.1.3</version>
    </dependency>
</dependencies>

可以通过设置 spring.cloud.vault.consul.enabled=true（默认值为 false）并使用 spring.cloud.vault.consul.role=… 提供角色名称来启用集成。

获取的令牌存储在 spring.cloud.consul.token 中，因此使用 Spring Cloud Consul 可以获取生成的凭据，无需进一步配置。您可以通过设置 spring.cloud.vault.consul.token-property 来配置属性名称。

spring.cloud.vault:
    consul:
        enabled: true
        role: readonly
        backend: consul
        token-property: spring.cloud.consul.token

  • enabled 将此值设置为 true 将启用 Consul 后端配置的使用

  • role 设置 Consul 角色定义的角色名称

  • backend 设置要使用的 Consul 挂载的路径

  • token-property 设置存储 Consul ACL 令牌的属性名称

另请参阅：Vault 文档：使用 Vault 设置 Consul

RabbitMQ

Spring Cloud Vault 可以获取 RabbitMQ 的凭据。

RabbitMQ 集成需要 spring-cloud-vault-config-rabbitmq 依赖项。

pom.xml
<dependencies>
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-vault-config-rabbitmq</artifactId>
        <version>4.1.3</version>
    </dependency>
</dependencies>

可以通过设置 spring.cloud.vault.rabbitmq.enabled=true（默认值为 false）并使用 spring.cloud.vault.rabbitmq.role=… 提供角色名称来启用集成。

用户名和密码存储在 spring.rabbitmq.username 和 spring.rabbitmq.password 中，因此使用 Spring Boot 可以获取生成的凭据，无需进一步配置。您可以通过设置 spring.cloud.vault.rabbitmq.username-property 和 spring.cloud.vault.rabbitmq.password-property 来配置属性名称。

spring.cloud.vault:
    rabbitmq:
        enabled: true
        role: readonly
        backend: rabbitmq
        username-property: spring.rabbitmq.username
        password-property: spring.rabbitmq.password

  • enabled 将此值设置为 true 将启用 RabbitMQ 后端配置的使用

  • role 设置 RabbitMQ 角色定义的角色名称

  • backend 设置要使用的 RabbitMQ 挂载的路径

  • username-property 设置存储 RabbitMQ 用户名的属性名称

  • password-property 设置存储 RabbitMQ 密码的属性名称

另请参阅：Vault 文档：使用 Vault 设置 RabbitMQ

AWS

Spring Cloud Vault 可以获取 AWS 的凭据。

AWS 集成需要 spring-cloud-vault-config-aws 依赖项。

pom.xml
<dependencies>
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-vault-config-aws</artifactId>
        <version>4.1.3</version>
    </dependency>
</dependencies>

可以通过设置 spring.cloud.vault.aws=true（默认值为 false）并使用 spring.cloud.vault.aws.role=… 提供角色名称来启用集成。

支持的 AWS 凭据类型

  • iam_user（默认值）

  • assumed_role（STS）

  • federation_token（STS）

访问密钥和密钥存储在 cloud.aws.credentials.accessKey 和 cloud.aws.credentials.secretKey 中。因此，使用 Spring Cloud AWS 可以获取生成的凭据，无需进一步配置。

您可以通过设置 spring.cloud.vault.aws.access-key-property 和 spring.cloud.vault.aws.secret-key-property 来配置属性名称。

对于 STS 安全令牌，您可以通过设置 spring.cloud.vault.aws.session-token-key-property 来配置属性名称。安全令牌存储在 cloud.aws.credentials.sessionToken 下（默认为）。

示例：iam_user

spring.cloud.vault:
    aws:
        enabled: true
        role: readonly
        backend: aws
        access-key-property: cloud.aws.credentials.accessKey
        secret-key-property: cloud.aws.credentials.secretKey

示例：assumed_role（STS）

spring.cloud.vault:
    aws:
        enabled: true
        role: sts-vault-role
        backend: aws
        credential-type: assumed_role
        access-key-property: cloud.aws.credentials.accessKey
        secret-key-property: cloud.aws.credentials.secretKey
        session-token-key-property: cloud.aws.credentials.sessionToken
        ttl: 3600s
        role-arn: arn:aws:iam::${AWS_ACCOUNT}:role/sts-app-role

  • enabled 将此值设置为 true 将启用 AWS 后端配置的使用

  • role 设置 AWS 角色定义的角色名称

  • backend 设置要使用的 AWS 挂载的路径

  • access-key-property 设置存储 AWS 访问密钥的属性名称

  • secret-key-property 用于设置存储 AWS 密钥的属性名称。

  • session-token-key-property 用于设置存储 AWS STS 安全令牌的属性名称。

  • credential-type 用于设置此后端要使用的 AWS 凭证类型。默认为 iam_user。

  • ttl 用于设置使用 assumed_role 或 federation_token 时 STS 令牌的生存时间 (TTL)。默认为 Vault 角色指定的 TTL。最小/最大值也受 AWS 对 STS 的支持限制。

  • role-arn 用于设置要假定的 IAM 角色，如果使用 assumed_role 时 Vault 角色配置了多个角色。

另请参阅：Vault 文档：使用 Vault 设置 AWS

数据库后端

Vault 支持多个数据库密钥后端，以便根据配置的角色动态生成数据库凭证。这意味着需要访问数据库的服务不再需要配置凭证：它们可以从 Vault 请求凭证，并使用 Vault 的租赁机制更轻松地轮换密钥。

Spring Cloud Vault 与这些后端集成。

使用数据库密钥后端需要在配置中启用后端以及 spring-cloud-vault-config-databases 依赖项。

从 0.7.1 版开始，Vault 提供了专用的 database 密钥后端，允许通过插件进行数据库集成。您可以通过使用通用数据库后端来使用该特定后端。请确保指定适当的后端路径，例如 spring.cloud.vault.mysql.role.backend=database。

pom.xml
<dependencies>
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-vault-config-databases</artifactId>
        <version>4.1.3</version>
    </dependency>
</dependencies>
启用多个符合 JDBC 的数据库将生成凭证并默认将其存储在相同的属性键中，因此需要单独配置 JDBC 密钥的属性名称。

数据库

Spring Cloud Vault 可以获取 www.vaultproject.io/api/secret/databases/index.html 中列出的任何数据库的凭证。可以通过设置 spring.cloud.vault.database.enabled=true（默认值为 false）并使用 spring.cloud.vault.database.role=… 提供角色名称来启用集成。

虽然数据库后端是通用的，但 spring.cloud.vault.database 特别针对 JDBC 数据库。用户名和密码可从 spring.datasource.username 和 spring.datasource.password 属性获取，因此使用 Spring Boot 将获取生成的凭证以供您的 DataSource 使用，无需进一步配置。您可以通过设置 spring.cloud.vault.database.username-property 和 spring.cloud.vault.database.password-property 来配置属性名称。

spring.cloud.vault:
    database:
        enabled: true
        role: readonly
        backend: database
        username-property: spring.datasource.username
        password-property: spring.datasource.password

多个数据库

有时，单个数据库的凭证是不够的，因为应用程序可能连接到两个或多个相同类型的数据库。从 3.0.5 版开始，Spring Vault 支持在 spring.cloud.vault.databases.* 命名空间下配置多个数据库密钥后端。

该配置接受多个数据库后端，以将凭证具体化到指定的属性中。请确保适当地配置 username-property 和 password-property。

spring.cloud.vault:
    databases:
        primary:
            enabled: true
            role: readwrite
            backend: database
            username-property: spring.primary-datasource.username
            password-property: spring.primary-datasource.password
        other-database:
            enabled: true
            role: readonly
            backend: database
            username-property: spring.secondary-datasource.username
            password-property: spring.secondary-datasource.password

  • <name> 数据库配置的描述性名称。

  • <name>.enabled 将此值设置为 true 将启用数据库后端配置的使用。

  • <name>.role 设置数据库角色定义的角色名称。

  • <name>.backend 设置要使用的数据库挂载的路径。

  • <name>.username-property 设置存储数据库用户名的属性名称。请确保使用唯一的属性名称以避免属性覆盖。

  • <name>.password-property 设置存储数据库密码的属性名称。请确保使用唯一的属性名称以避免属性覆盖。

另请参阅：Vault 文档：数据库密钥后端

当达到最大租期时间时，Spring Cloud Vault 不支持获取新凭证并使用它们来配置您的 DataSource。也就是说，如果 Vault 中数据库角色的 max_ttl 设置为 24h，则表示应用程序启动 24 小时后将无法再对数据库进行身份验证。

Apache Cassandra

Vault 0.7.1 中已弃用 cassandra 后端，建议使用 database 后端并将其挂载为 cassandra。

Spring Cloud Vault 可以获取 Apache Cassandra 的凭证。可以通过设置 spring.cloud.vault.cassandra.enabled=true（默认值为 false）并使用 spring.cloud.vault.cassandra.role=… 提供角色名称来启用集成。

用户名和密码可从 spring.data.cassandra.username 和 spring.data.cassandra.password 属性获取，因此使用 Spring Boot 将获取生成的凭证，无需进一步配置。您可以通过设置 spring.cloud.vault.cassandra.username-property 和 spring.cloud.vault.cassandra.password-property 来配置属性名称。

spring.cloud.vault:
    cassandra:
        enabled: true
        role: readonly
        backend: cassandra
        username-property: spring.data.cassandra.username
        password-property: spring.data.cassandra.password

  • enabled 将此值设置为 true 将启用 Cassandra 后端配置的使用。

  • role 设置 Cassandra 角色定义的角色名称。

  • backend 设置要使用的 Cassandra 挂载的路径。

  • username-property 设置存储 Cassandra 用户名的属性名称。

  • password-property 设置存储 Cassandra 密码的属性名称。

另请参阅：Vault 文档：使用 Vault 设置 Apache Cassandra

Couchbase 数据库

Spring Cloud Vault 可以获取 Couchbase 的凭证。可以通过设置 spring.cloud.vault.couchbase.enabled=true（默认值为 false）并使用 spring.cloud.vault.couchbase.role=… 提供角色名称来启用集成。

用户名和密码可从 spring.couchbase.username 和 spring.couchbase.password 属性获取，因此使用 Spring Boot 将获取生成的凭证，无需进一步配置。您可以通过设置 spring.cloud.vault.couchbase.username-property 和 spring.cloud.vault.couchbase.password-property 来配置属性名称。

spring.cloud.vault:
    couchbase:
        enabled: true
        role: readonly
        backend: database
        username-property: spring.couchbase.username
        password-property: spring.couchbase.password

  • enabled 将此值设置为 true 将启用 Couchbase 后端配置的使用。

  • role 设置 Couchbase 角色定义的角色名称。

  • backend 设置要使用的 Couchbase 挂载的路径。

  • username-property 设置存储 Couchbase 用户名的属性名称。

  • password-property 设置存储 Couchbase 密码的属性名称。

另请参阅：Couchbase 数据库插件文档

Elasticsearch

从 3.0 版开始，Spring Cloud Vault 可以获取 Elasticsearch 的凭证。可以通过设置 spring.cloud.vault.elasticsearch.enabled=true（默认值为 false）并使用 spring.cloud.vault.elasticsearch.role=… 提供角色名称来启用集成。

用户名和密码可从 spring.elasticsearch.rest.username 和 spring.elasticsearch.rest.password 属性获取，因此使用 Spring Boot 将获取生成的凭证，无需进一步配置。您可以通过设置 spring.cloud.vault.elasticsearch.username-property 和 spring.cloud.vault.elasticsearch.password-property 来配置属性名称。

spring.cloud.vault:
    elasticsearch:
        enabled: true
        role: readonly
        backend: mongodb
        username-property: spring.elasticsearch.rest.username
        password-property: spring.elasticsearch.rest.password

  • enabled 将此值设置为 true 将启用 Elasticsearch 数据库后端配置的使用。

  • role 设置 Elasticsearch 角色定义的角色名称。

  • backend 设置要使用的 Elasticsearch 挂载的路径。

  • username-property 设置存储 Elasticsearch 用户名的属性名称。

  • password-property 设置存储 Elasticsearch 密码的属性名称。

另请参阅：Vault 文档：使用 Vault 设置 Elasticsearch

MongoDB

Vault 0.7.1 中已弃用 mongodb 后端，建议使用 database 后端并将其挂载为 mongodb。

Spring Cloud Vault 可以获取 MongoDB 的凭证。可以通过设置 spring.cloud.vault.mongodb.enabled=true（默认值为 false）并使用 spring.cloud.vault.mongodb.role=… 提供角色名称来启用集成。

用户名和密码存储在 spring.data.mongodb.username 和 spring.data.mongodb.password 中，因此使用 Spring Boot 将获取生成的凭证，无需进一步配置。您可以通过设置 spring.cloud.vault.mongodb.username-property 和 spring.cloud.vault.mongodb.password-property 来配置属性名称。

spring.cloud.vault:
    mongodb:
        enabled: true
        role: readonly
        backend: mongodb
        username-property: spring.data.mongodb.username
        password-property: spring.data.mongodb.password

  • enabled 将此值设置为 true 将启用 MongodB 后端配置的使用。

  • role 设置 MongoDB 角色定义的角色名称。

  • backend 设置要使用的 MongoDB 挂载的路径。

  • username-property 设置存储 MongoDB 用户名的属性名称。

  • password-property 设置存储 MongoDB 密码的属性名称。

另请参阅：Vault 文档：使用 Vault 设置 MongoDB

MySQL

Vault 0.7.1 中已弃用 mysql 后端，建议使用 database 后端并将其挂载为 mysql。将来版本中将删除 spring.cloud.vault.mysql 的配置。

Spring Cloud Vault 可以获取 MySQL 的凭证。可以通过设置 spring.cloud.vault.mysql.enabled=true（默认值为 false）并使用 spring.cloud.vault.mysql.role=… 提供角色名称来启用集成。

用户名和密码可从 spring.datasource.username 和 spring.datasource.password 属性获取，因此使用 Spring Boot 将获取生成的凭证，无需进一步配置。您可以通过设置 spring.cloud.vault.mysql.username-property 和 spring.cloud.vault.mysql.password-property 来配置属性名称。

spring.cloud.vault:
    mysql:
        enabled: true
        role: readonly
        backend: mysql
        username-property: spring.datasource.username
        password-property: spring.datasource.password

  • enabled 将此值设置为 true 将启用 MySQL 后端配置的使用。

  • role 设置 MySQL 角色定义的角色名称。

  • backend 设置要使用的 MySQL 挂载的路径。

  • username-property 设置存储 MySQL 用户名的属性名称。

  • password-property 设置存储 MySQL 密码的属性名称。

另请参阅：Vault 文档：使用 Vault 设置 MySQL

PostgreSQL

Vault 0.7.1 中已弃用 postgresql 后端，建议使用 database 后端并将其挂载为 postgresql。将来版本中将删除 spring.cloud.vault.postgresql 的配置。

Spring Cloud Vault 可以获取 PostgreSQL 的凭证。可以通过设置 spring.cloud.vault.postgresql.enabled=true（默认值为 false）并使用 spring.cloud.vault.postgresql.role=… 提供角色名称来启用集成。

用户名和密码可从 spring.datasource.username 和 spring.datasource.password 属性获取，因此使用 Spring Boot 将获取生成的凭证，无需进一步配置。您可以通过设置 spring.cloud.vault.postgresql.username-property 和 spring.cloud.vault.postgresql.password-property 来配置属性名称。

spring.cloud.vault:
    postgresql:
        enabled: true
        role: readonly
        backend: postgresql
        username-property: spring.datasource.username
        password-property: spring.datasource.password

  • enabled 将此值设置为 true 将启用 PostgreSQL 后端配置的使用。

  • role 设置 PostgreSQL 角色定义的角色名称。

  • backend 设置要使用的 PostgreSQL 挂载的路径。

  • username-property 设置存储 PostgreSQL 用户名的属性名称。

  • password-property 设置存储 PostgreSQL 密码的属性名称。

另请参阅：Vault 文档：使用 Vault 设置 PostgreSQL

自定义要作为 PropertySource 公开的密钥后端

Spring Cloud Vault 使用基于属性的配置为键值和发现的密钥后端创建 PropertySource。

已发现的后端提供VaultSecretBackendDescriptor Bean 来描述用于将密钥后端作为PropertySource 的配置状态。需要一个SecretBackendMetadataFactory 来创建一个SecretBackendMetadata 对象，该对象包含路径、名称和属性转换配置。

SecretBackendMetadata 用于支持特定的PropertySource。

您可以注册一个VaultConfigurer 进行自定义。如果您提供了VaultConfigurer，则默认的键值和已发现的后端注册将被禁用。但是，您可以使用SecretBackendConfigurer.registerDefaultKeyValueSecretBackends() 和SecretBackendConfigurer.registerDefaultDiscoveredSecretBackends() 启用默认注册。

public class CustomizationBean implements VaultConfigurer {

    @Override
    public void addSecretBackends(SecretBackendConfigurer configurer) {

        configurer.add("secret/my-application");

        configurer.registerDefaultKeyValueSecretBackends(false);
        configurer.registerDefaultDiscoveredSecretBackends(true);
    }
}
SpringApplication application = new SpringApplication(MyApplication.class);
application.addBootstrapper(VaultBootstrapper.fromConfigurer(new CustomizationBean()));

自定义密钥后端实现

Spring Cloud Vault 提供了对最常见的后端集成的密钥后端支持。您可以通过提供一个实现来与任何类型的后端集成，该实现描述了如何从您要使用的后端获取数据以及如何通过提供PropertyTransformer 来显示该后端提供的数据。

添加后端的自定义实现需要实现两个接口

  • org.springframework.cloud.vault.config.VaultSecretBackendDescriptor

  • org.springframework.cloud.vault.config.SecretBackendMetadataFactory

VaultSecretBackendDescriptor 通常是一个保存配置数据（例如VaultDatabaseProperties）的对象。Spring Cloud Vault 要求您的类型使用@ConfigurationProperties 进行注释，以便从配置中具体化该类。

SecretBackendMetadataFactory 接受VaultSecretBackendDescriptor 来创建实际的SecretBackendMetadata 对象，该对象保存您 Vault 服务器中的上下文路径、解析参数化上下文路径所需的任何路径变量以及PropertyTransformer。

VaultSecretBackendDescriptor 和SecretBackendMetadataFactory 这两种类型都必须在spring.factories 中注册，spring.factories 是 Spring 提供的一种扩展机制，类似于 Java 的 ServiceLoader。