使用微服务AppRole实现Spring云配置服务器和Vault的集成

Question

如何将具有approle[in vault]的微服务连接到具有vault后端的Spring Cloud Config Server。

我可以看到使用根令牌的示例，如curl-x GET http://localhost:8888/my-service/default-h“x-config-token:s.tmqara2lasdnhjzqqzy7y8px”。但是我找不到任何使用approle连接spring cloud config服务的例子。

但是我不想将根令牌从微服务传递到spring cloud config服务器，相反，每个服务都将定义app角色，该角色应该能够连接spring cloud config，spring cloud config反过来连接到Vault并获得数据。

Answer 1

我在使用Spring Cloud Config服务器作为中央配置代理时也遇到了同样的问题。

我发现以下GitHub问题提供了一个解决方案。简而言之，您必须将spring-vault-core依赖项添加到您的依赖项中，以便为AppRole身份验证添加有效的令牌解析器：

Maven：

<dependency>
    <groupId>org.springframework.vault</groupId>
    <artifactId>spring-vault-core</artifactId>
</dependency>

格雷德尔：

implementation "org.springframework.vault:spring-vault-core"

这样可以直接解决问题。当然，必须设置以下配置：

spring:
  cloud:
    config:
      server:
        vault:
          port: 443
          host: myvault.domain.com
          scheme: https
          backend: mybackend
          kv-version: 2 #required if secrets engine version is v2 (default: v1/1)
          timeout: 5 #seconds
          authentication: APPROLE
          app-role:
            secret-id: 1234567-234567-23456-12341
            role-id: 987654-3456-9865-1235
            role: my-role-name #optional
            app-role-path: approle #optional if non default (default: approle)

添加依赖项、配置并启动服务后，将出现以下日志消息：

2021-04-30 12:40:31.211信息53327---[nio-8888-exec-2]O.S.V.A.LifecyCleAwareSessionManager：计划令牌续订

这样就不再需要x-config-token标头了。

null