带有Git/Vault后端令牌传递的Spring云配置

Question

不是为Spring Cloud Config Server提供一个AppRole或Static令牌来访问所有应用程序的所有机密，是否可以配置Spring Cloud Vault Config来在配置请求中使用给定的令牌？

这种通信将通过带有标头中的令牌的双向SSL进行。向外发送这样的令牌并不理想，但在这种情况下似乎是合适的解决方案。

请记住，这是一个Spring Cloud Config服务器，它使用Git+Vault作为后端，以便将秘密、变量等解析为所需的配置。这不仅适用于Spring配置，还适用于交付给临时环境的其他文件，比如Apache的httpd.conf（这是一个不太好的例子）

这里的目标是在可能的情况下限制访问，并将其限制在请求配置的最终应用程序。在Spring配置和Vault策略上不要重复使用AuthZ的RBAC工作也很好。

Answer 1

您可以将每个与配置服务器对话的Spring Boot应用程序配置为将其自己的唯一令牌发送到配置服务器，然后将其传递到Vault。

Vault将根据定义访问该资源的策略和授予令牌的权限，允许访问所请求的资源。

步骤1：定义策略。

cat ./rules/application-a.hcl <<EOF
path "secret/application" {
  capabilities = ["read", "list"]
}
path "secret/application-a" {
  capabilities = ["read", "list"]
}
EOF

vault write sys/policy/policy-application-a rules=@./rules/application-a.hcl

vault token-create -display-name="My Application A" -policy="policy-application-a"

vault write secret/application-a @application-a-config.json

步骤5：配置Spring Boot应用程序以使用它的令牌。

使用上面步骤3中创建的令牌。在应用程序的bootstrap.yml文件中设置后续操作。如果您在容器化的环境中运行，您也可以在运行时传递此内容。

spring:
  cloud:
    config:
      uri: https://configserver:8888/
      token: <secret token>

Spring处理令牌从客户机应用程序到配置服务器再到Vault的传输。

curl -X GET -H "X-Vault-Token:$VAULT_TOKEN" http://127.0.0.1:8200/v1/secret/application-a

我希望这对你有帮助。