带有Azure身份验证的Spring云配置库：在AKS上读取配置失败

Question

我正在努力实现以下目标:

能够使用Azure用户分配的管理身份（UAMI）从Spring启动应用程序（部署在AKS中）向vault（部署在Azure上）进行身份验证

栈:openjdk 8，spring boot 2.5.4，spring-cloud-starter-vault-config 3 . 0 . 3，AKS

我在azure上安装了hashicorp保险库。下面的文档建议我可以在这种情况下使用UAMI对vault进行身份验证。参考https://cloud.spring.io/spring-cloud-vault/reference/html/

Spring Boot应用程序配置：

application.yml：

server:
  port: 8090

spring:
  application:
     name: my application-service
  cloud:
    config:
      import: vault://secret/somepath_to_secrets
    vault:
      uri: https://my-vault-uri
      scheme: https
      namespace: myapp
      authentication: AZURE_MSI
      azure-msi:
        role: pod_identity_role_name

这在我的本地工作有点正常，因为日志说它试图击中上面提到的保管库 URI 并进行连接，当然，由于 azure MSI，我无法在本地端到端上对此进行测试。我正在使用用户分配的托管标识 （UAMI）。

但当我将其部署到Azure Kubernetes集群时，它会给我以下错误，甚至不会尝试连接到vault。看起来它需要身份验证作为令牌：

Error creating bean with name 'clientAuthentication' defined in class path resource
caused by java.lang.IllegalArgumentException: Token(spring.cloud.vault.token) must not be empty

这对我来说没有意义，因为本地和 AKS 日志完全不同。我在本地和 AKS 上的 JKS 中有根证书。

有人能帮我一下吗？我看过各种文件，但似乎都是旧的。

Answer 1

根据下面的文档使用Azure POD Identity - Arctiq将Hashicorp Vault与Azure AKS集成，您可以将您的Hashicorp vault与AKS集成。您可以从AKS生成认证令牌来认证Hashicorp vault。

Azure AD Pod Identity允许您将Pod绑定到在集群外部管理的Azure Identity。Vault可以配置为使用Azure AD作为身份提供程序，这将使AKS中的容器化应用程序能够使用Vault中的机密，而无需任何代码修改。

> < li>

在您的AK上启用Azure AD Pod身份。

创建Azure身份。

将Azure身份部署到AKS。

将Hashicorp保险库部署到AKS

验证Azure身份绑定

从pod会话内部，从Azure元数据服务获取令牌，然后使用JWT令牌向Vault进行身份验证