spring-boot - Spring Cloud Vault - 存储 Secret-Id 和 Role-Id 的最佳位置

Question

我正在使用 Spring Cloud Vault Library 从 Vault 服务器访问我的 Secrets。

目前我存储了所有的参数，比如role-id, secret-id, host, port 等...，作为环境变量，然后将其注入(inject)到我的 Spring-boot 应用程序的 bootstrap.yml 中。下面是我的 YAML 文件

spring:
 cloud:
    vault:
      authentication: APPROLE
      app-role:
        role-id: ${role-id}
        secret-id: ${secret-id}
      host: ${host}
      port: ${port}
      scheme: ${scheme}

我遇到的问题是管理 Vault 的 Role-Id 和 Secret-Id。显然，Vault 并不擅长保护我们的 secret 如果人们可以轻松获得这两条信息——它们本身确实是 secret 。

保护 Role-Id 和 Secret-Id 的行业最佳实践是什么？我们已经集思广益，例如 storing-in-config-server、storing-in-environment-variable、storing-in-cloudfoundry-UPS。 .

尽管如此，我们还是想了解这方面的最佳实践..

Answer 1

我遇到了同样的问题，这是你可以做的。首先，应用程序应该定义自己的系统用户，并且应该以该用户身份启动。然后在与 jar/war 文件相同的目录中，您可以制作包含以下内容的 bootstrap.properties 文件:

spring.cloud.vault.app-role.secret-id=*your-secret-for-role-id*

这是 ls 输出示例:

-rw-------. 1 app app bootstrap.properties
-rwxr--r--. 1 app app app.jar

应用程序用户必须是此属性文件的所有者，并且只有他应该被允许读取 bootstrap.properties。除非您拥有 root 或应用程序用户权限，否则这可以保护您的 secret 免受未经授权的访问。