使用Git/Vault的Spring Cloud配置生产环境

Question

Spring Boot-2.0.0.m3 Spring Cloud-Finchley.m1

我想知道是否有人在使用数据库存储后端的生产设置中使用了同时支持vault和git的Spring Cloud config server。我使用vault对Spring cloud配置进行了评估，并考虑是使用Oracle JCE加密username/pwd还是vault，并寻求有关建议。我们正在开发SpringBoot/MicroServices。

以下是我的发现-

>

Vault将引入一个额外的层，因此将引入安全性的额外用途，即在与Vault通信时进行审计。

Spring cloud Config actuatorendpoint在这一点上被打破，用于生成加密值，如果我们使用Oracle JCE支持，/encrypt/decrypt可能无法工作，因此我们通过稳定的版本生成加密值。

以下是我的一些观察，如果有任何案例研究/白皮书涉及生产微服务环境中spring cloud config vault的用法、设置和挑战，请分享您的想法。

谢谢

Answer 1

谢谢你来找我。我认为应用程序角色后端使用两个不同的令牌，实际上spring-cloud-config-vault确实支持此功能，请参见:http://cloud.spring.io/spring-cloud-vault/single/spring-cloud-vault.html#_approle_authentication。根据文档，我使用vault的方式与使用config server的方式相同。我不加密配置中的任何值，我只是不把它们放在那里。我把秘密值放在vault中，让它为配置服务。只要键不碰撞，您就不必乱来，否则您可能需要调整优先级以便vault获胜，再次参见我上面提到的文档。我个人不会在spring-cloud-config中搞乱加密/解密。因为您必须将密钥签入SCM或将它们分发到您的团队进行本地开发，所以您失去了IMO拥有这些密钥的价值。