7. 秘密后端 (7. Secret Backends) | Spring Cloud Vaultversion 3.1.3中文文档|Spring官方文档|SpringBoot 教程|Spring中文网

7. 秘密后端

7.1. 键值后端

Spring Cloud Vault 支持键值密钥后端，即版本控制（v2）和未版本控制（v1）。键值后端允许将任意值存储为键值存储。单个上下文可以存储一个或多个键值元组。上下文可以按层次结构组织。 Spring Cloud Vault 自行确定 secret 是否使用版本控制，并将路径映射到其适当的 URL。 Spring Cloud Vault 允许使用应用程序名称和默认上下文名称（application）与活动配置文件结合使用。spring-doc.cadn.net.cn

/secret/{application}/{profile}
/secret/{application}
/secret/{default-context}/{profile}
/secret/{default-context}

应用程序名称由以下属性决定：spring-doc.cadn.net.cn

spring.cloud.vault.kv.application-namespring-doc.cadn.net.cn
spring.cloud.vault.application-namespring-doc.cadn.net.cn
spring.application.namespring-doc.cadn.net.cn

配置文件由属性决定：spring-doc.cadn.net.cn

spring.cloud.vault.kv.profilesspring-doc.cadn.net.cn
spring.profiles.activespring-doc.cadn.net.cn

可以通过将密钥的路径添加到应用程序名称（以逗号分隔）中，从键值后端中的其他上下文中获取密钥。例如，给定应用程序名称usefulapp,mysql1,projectx/aws，将使用以下每个文件夹：spring-doc.cadn.net.cn

/secret/usefulappspring-doc.cadn.net.cn
/secret/mysql1spring-doc.cadn.net.cn
/secret/projectx/awsspring-doc.cadn.net.cn

Spring Cloud Vault 将所有活动配置文件添加到可能的上下文路径列表中。没有活动配置文件将跳过访问具有配置文件名称的上下文。spring-doc.cadn.net.cn

属性像存储一样公开（即没有额外的前缀）。spring-doc.cadn.net.cn

Spring Cloud Vault 将data/挂载路径和实际上下文路径之间的上下文，具体取决于挂载是否使用版本化的键值后端。

spring.cloud.vault:
    kv:
        enabled: true
        backend: secret
        profile-separator: '/'
        default-context: application
        application-name: my-app
        profiles: local, cloud

enabled将此值设置为false禁用机密后端配置用法spring-doc.cadn.net.cn
backend设置要使用的秘密挂载的路径spring-doc.cadn.net.cn
default-context设置所有应用程序使用的上下文名称spring-doc.cadn.net.cn
application-name覆盖用于键值后端的应用程序名称spring-doc.cadn.net.cn
profiles覆盖用于键值后端的活动配置文件spring-doc.cadn.net.cn
profile-separator将配置文件名称与具有配置文件的属性源中的上下文分开spring-doc.cadn.net.cn

键值密钥后端可以在版本化（v2）和非版本化（v1）模式下运行。

另见：spring-doc.cadn.net.cn

7.2. 执政官

Spring Cloud Vault 可以获取 HashiCorp Consul 的凭据。 Consul 集成需要spring-cloud-vault-config-consulDependency。spring-doc.cadn.net.cn

实施例 33.pom.xml

<dependencies>
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-vault-config-consul</artifactId>
        <version>3.1.3</version>
    </dependency>
</dependencies>

可以通过将spring.cloud.vault.consul.enabled=true（默认false）并为角色名称提供spring.cloud.vault.consul.role=….spring-doc.cadn.net.cn

获得的Tokens存储在spring.cloud.consul.token因此，使用 Spring Cloud Consul 无需进一步配置即可获取生成的凭据。您可以通过设置spring.cloud.vault.consul.token-property.spring-doc.cadn.net.cn

spring.cloud.vault:
    consul:
        enabled: true
        role: readonly
        backend: consul
        token-property: spring.cloud.consul.token

enabled将此值设置为true启用 Consul 后端配置使用spring-doc.cadn.net.cn
role设置 Consul 角色定义的角色名称spring-doc.cadn.net.cn
backend设置要使用的 Consul 挂载的路径spring-doc.cadn.net.cn
token-property设置存储 Consul ACL Tokens的属性名称spring-doc.cadn.net.cn

另请参阅：Vault 文档：使用 Vault 设置 Consul spring-doc.cadn.net.cn

7.3. 兔子MQ

Spring Cloud Vault 可以获取 RabbitMQ 的凭据。spring-doc.cadn.net.cn

RabbitMQ 集成需要spring-cloud-vault-config-rabbitmqDependency。spring-doc.cadn.net.cn

实施例 34.pom.xml

<dependencies>
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-vault-config-rabbitmq</artifactId>
        <version>3.1.3</version>
    </dependency>
</dependencies>

可以通过将spring.cloud.vault.rabbitmq.enabled=true（默认false）并为角色名称提供spring.cloud.vault.rabbitmq.role=….spring-doc.cadn.net.cn

用户名和密码存储在spring.rabbitmq.username和spring.rabbitmq.password因此，使用 Spring Boot 将获取生成的凭据，而无需进一步配置。您可以通过设置spring.cloud.vault.rabbitmq.username-property和spring.cloud.vault.rabbitmq.password-property.spring-doc.cadn.net.cn

spring.cloud.vault:
    rabbitmq:
        enabled: true
        role: readonly
        backend: rabbitmq
        username-property: spring.rabbitmq.username
        password-property: spring.rabbitmq.password

enabled将此值设置为true启用 RabbitMQ 后端配置用法spring-doc.cadn.net.cn
role设置 RabbitMQ 角色定义的角色名称spring-doc.cadn.net.cn
backend设置要使用的 RabbitMQ 挂载的路径spring-doc.cadn.net.cn
username-property设置存储 RabbitMQ 用户名的属性名称spring-doc.cadn.net.cn
password-property设置存储 RabbitMQ 密码的属性名称spring-doc.cadn.net.cn

另请参阅：Vault 文档：使用 Vault 设置 RabbitMQ spring-doc.cadn.net.cn

7.4. AWS

Spring Cloud Vault 可以获取 AWS 的凭据。spring-doc.cadn.net.cn

AWS 集成需要spring-cloud-vault-config-awsDependency。spring-doc.cadn.net.cn

示例 35.pom.xml

<dependencies>
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-vault-config-aws</artifactId>
        <version>3.1.3</version>
    </dependency>
</dependencies>

可以通过将spring.cloud.vault.aws=true（默认false）并为角色名称提供spring.cloud.vault.aws.role=….spring-doc.cadn.net.cn

支持的 AWS 凭证类型：spring-doc.cadn.net.cn

iam_user（默认值）spring-doc.cadn.net.cn
assumed_role （STS）spring-doc.cadn.net.cn
federation_token （STS）spring-doc.cadn.net.cn

访问密钥和密钥存储在cloud.aws.credentials.accessKey和cloud.aws.credentials.secretKey. 因此，使用 Spring Cloud AWS 将获取生成的凭据，而无需进一步配置。spring-doc.cadn.net.cn

您可以通过设置spring.cloud.vault.aws.access-key-property和spring.cloud.vault.aws.secret-key-property.spring-doc.cadn.net.cn

对于 STS 安全Tokens，您可以通过设置spring.cloud.vault.aws.session-token-key-property. 安全Tokens存储在cloud.aws.credentials.sessionToken（默认值）。spring-doc.cadn.net.cn

示例：iam_userspring-doc.cadn.net.cn

spring.cloud.vault:
    aws:
        enabled: true
        role: readonly
        backend: aws
        access-key-property: cloud.aws.credentials.accessKey
        secret-key-property: cloud.aws.credentials.secretKey

示例：assumed_role （STS）spring-doc.cadn.net.cn

spring.cloud.vault:
    aws:
        enabled: true
        role: sts-vault-role
        backend: aws
        credential-type: assumed_role
        access-key-property: cloud.aws.credentials.accessKey
        secret-key-property: cloud.aws.credentials.secretKey
        session-token-key-property: cloud.aws.credentials.sessionToken
        ttl: 3600s
        role-arn: arn:aws:iam::${AWS_ACCOUNT}:role/sts-app-role

enabled将此值设置为true启用 AWS 后端配置使用spring-doc.cadn.net.cn
role设置 AWS 角色定义的角色名称spring-doc.cadn.net.cn
backend设置要使用的 AWS 挂载路径spring-doc.cadn.net.cn
access-key-property设置存储 AWS 访问密钥的属性名称spring-doc.cadn.net.cn
secret-key-property设置存储 AWS 密钥的属性名称spring-doc.cadn.net.cn
session-token-key-property设置存储 AWS STS 安全Tokens的属性名称。spring-doc.cadn.net.cn
credential-type设置要用于此后端的 AWS 凭证类型。默认为iam_userspring-doc.cadn.net.cn
ttl使用 STS Tokens时设置 ttlassumed_role或federation_token.默认为 vault 角色指定的 ttl。最小值/最大值也仅限于 AWS 对 STS 的支持值。spring-doc.cadn.net.cn
role-arn设置在使用assumed_role.spring-doc.cadn.net.cn

另请参阅：Vault 文档：使用 Vault 设置 AWS spring-doc.cadn.net.cn