Spring Cloud Vault-存储机密Id和角色Id的最佳位置

Question

我正在使用Spring Cloud Vault Library从Vault服务器访问我的秘密。

目前，我正在存储所有参数，例如角色ID、秘密ID、主机、端口等...，作为环境变量，然后将其注入到我的Spring Boot应用程序的bootstrap.yml中。下面是我的YAML文件

spring:
 cloud:
    vault:
      authentication: APPROLE
      app-role:
        role-id: ${role-id}
        secret-id: ${secret-id}
      host: ${host}
      port: ${port}
      scheme: ${scheme}

我被困的地方是管理Vault的角色Id

保护角色ID和秘密ID的行业最佳实践是什么？我们已经集思广益了一些想法，例如存储在配置服务器中、存储在环境变量中、存储在云铸造中UPS...

然而，我们希望了解这方面的最佳实践。。

Answer 1

我也面临同样的问题，下面是你能做的。首先，应用程序应该定义自己的系统用户，并作为该用户启动。然后在与jar/war文件相同的目录中进行引导。属性文件包含：

spring.cloud.vault.app-role.secret-id=*your-secret-for-role-id*

下面是ls输出示例：

-rw-------. 1 app app bootstrap.properties
-rwxr--r--. 1 app app app.jar

应用程序用户必须是此属性文件的所有者，并且只有他才应该被允许读取bootstrap.properties.这可以保护您的秘密免受未经授权的访问，除非您具有root或应用程序用户权限。