|
对于最新的稳定版本，请使用 Spring Cloud Vault 4.3.0！ |
快速入门
本节介绍如何开始使用 Vault 和 Spring Cloud Vault。
前提条件
要开始使用 Vault 和本指南，您需要一个类似 *NIX 的作系统，该作系统提供：
-
wget,openssl和unzip -
至少 Java 8 和正确配置的
JAVA_HOME环境变量
| 本指南从 Spring Cloud Vault 的角度解释了用于集成测试的 Vault 设置。您可以直接在 Vault 项目站点上找到入门指南：learn.hashicorp.com/vault |
安装 Vault
$ wget https://releases.hashicorp.com/vault/${vault_version}/vault_${vault_version}_${platform}.zip
$ unzip vault_${vault_version}_${platform}.zip这些步骤可以通过下载并运行来实现install_vault.sh. |
为 Vault 创建 SSL 证书
接下来，需要生成一组证书：
-
根 CA
-
保管库证书（解密密钥
work/ca/private/localhost.decrypted.key.pem和证书work/ca/certs/localhost.cert.pem)
确保将根证书导入到符合 Java 的信任库中。
实现此目的的最简单方法是使用 OpenSSL。
create_certificates.sh在work/ca和 JKS 信任库work/keystore.jks. 如果要使用此快速入门指南运行 Spring Cloud Vault，则需要配置信任库spring.cloud.vault.ssl.trust-store属性设置为file:work/keystore.jks. |
启动 Vault 服务器
接下来，按照以下内容创建一个配置文件：
backend "inmem" {
}
listener "tcp" {
address = "0.0.0.0:8200"
tls_cert_file = "work/ca/certs/localhost.cert.pem"
tls_key_file = "work/ca/private/localhost.decrypted.key.pem"
}
disable_mlock = true您可以在以下位置找到示例配置文件vault.conf. |
$ vault server -config=vault.confVault 已开始监听0.0.0.0:8200使用inmemstorage 和https. Vault 是密封的，启动时未初始化。
如果要运行测试，请保持 Vault 未初始化。测试将初始化 Vault 并创建根Tokens00000000-0000-0000-0000-000000000000. |
如果您想将 Vault 用于您的应用程序或尝试一下，那么您需要先初始化它。
$ export VAULT_ADDR="https://localhost:8200"
$ export VAULT_SKIP_VERIFY=true # Don't do this for production
$ vault operator init您应该看到如下内容：
Key 1: 7149c6a2e16b8833f6eb1e76df03e47f6113a3288b3093faf5033d44f0e70fe701
Key 2: 901c534c7988c18c20435a85213c683bdcf0efcd82e38e2893779f152978c18c02
Key 3: 03ff3948575b1165a20c20ee7c3e6edf04f4cdbe0e82dbff5be49c63f98bc03a03
Key 4: 216ae5cc3ddaf93ceb8e1d15bb9fc3176653f5b738f5f3d1ee00cd7dccbe926e04
Key 5: b2898fc8130929d569c1677ee69dc5f3be57d7c4b494a6062693ce0b1c4d93d805
Initial Root Token: 19aefa97-cccc-bbbb-aaaa-225940e63d76
Vault initialized with 5 keys and a key threshold of 3. Please
securely distribute the above keys. When the Vault is re-sealed,
restarted, or stopped, you must provide at least 3 of these keys
to unseal it again.
Vault does not store the master key. Without at least 3 keys,
your Vault will remain permanently sealed.Vault 将初始化并返回一组解封密钥和根Tokens。选择 3 个密钥并解封 Vault。将 Vault Tokens存储在VAULT_TOKEN环境变量。
$ vault operator unseal (Key 1)
$ vault operator unseal (Key 2)
$ vault operator unseal (Key 3)
$ export VAULT_TOKEN=(Root token)
# Required to run Spring Cloud Vault tests after manual initialization
$ vault token create -id="00000000-0000-0000-0000-000000000000" -policy="root"Spring Cloud Vault 访问不同的资源。默认情况下，启用了通过 JSON 端点访问秘密配置设置的秘密后端。
HTTP 服务具有以下形式的资源：
/secret/{application}/{profile}
/secret/{application}
/secret/{defaultContext}/{profile}
/secret/{defaultContext}
其中“应用程序”被注入为spring.application.name在SpringApplication（即常规 Spring Boot 应用程序中通常为“应用程序”），“profile”是一个活动配置文件（或逗号分隔的属性列表）。从 Vault 检索到的属性将按“原样”使用，而无需进一步添加属性名称前缀。
客户端使用
要在应用程序中使用这些功能，只需将其构建为依赖于spring-cloud-vault-config（例如，请参阅测试用例）。Maven 配置示例：
<parent>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-parent</artifactId>
<version>${springBootVersion}</version>
<relativePath /> <!-- lookup parent from repository -->
</parent>
<dependencies>
<dependency>
<groupId>org.springframework.cloud</groupId>
<artifactId>spring-cloud-starter-vault-config</artifactId>
<version>4.2.1</version>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-test</artifactId>
<scope>test</scope>
</dependency>
</dependencies>
<build>
<plugins>
<plugin>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-maven-plugin</artifactId>
</plugin>
</plugins>
</build>
<!-- repositories also needed for snapshots and milestones -->然后，您可以创建一个标准的 Spring Boot 应用程序，例如这个简单的 HTTP 服务器：
@SpringBootApplication
@RestController
public class Application {
@RequestMapping("/")
public String home() {
return "Hello World!";
}
public static void main(String[] args) {
SpringApplication.run(Application.class, args);
}
}当它运行时，它将从端口上的默认本地 Vault 服务器获取外部配置8200如果它正在运行。
若要修改启动行为，可以使用以下命令更改 Vault 服务器的位置：application.properties例如
spring.cloud.vault:
host: localhost
port: 8200
scheme: https
uri: https://localhost:8200
connection-timeout: 5000
read-timeout: 15000
spring.config.import: vault://-
host设置 Vault 主机的主机名。 主机名将用于 SSL 证书验证 -
port设置 Vault 端口 -
scheme将方案设置为http将使用纯 HTTP。 支持的方案包括http和https. -
uri使用 URI 配置 Vault 端点。优先于主机/端口/方案配置 -
connection-timeout设置连接超时（以毫秒为单位） -
read-timeout设置读取超时（以毫秒为单位） -
spring.config.import将 Vault 挂载为PropertySource使用所有已启用的密钥后端（默认启用键值）
如果应用程序导入spring-boot-starter-actuator项目，Vault 服务器的状态将通过/health端点。
可以通过属性启用或禁用保管库运行状况指示器management.health.vault.enabled（默认为true).
在 Spring Cloud Vault 3.0 和 Spring Boot 2.4 中，引导上下文初始化 （bootstrap.yml,bootstrap.properties） 已弃用属性源。
相反，Spring Cloud Vault 更喜欢 Spring Boot 的 Config Data API，它允许从 Vault 导入配置。使用 Spring Boot Config Data 方法，您需要将spring.config.import属性以绑定到 Vault。您可以在 配置数据位置 部分阅读有关它的更多信息。
您可以通过设置配置属性来启用引导上下文spring.cloud.bootstrap.enabled=true或通过包含依赖项org.springframework.cloud:spring-cloud-starter-bootstrap. |