Spring云配置（Vault后端）过早终止

Question

我正在使用Spring Cloud Config Server为我的客户端应用程序提供配置。为了方便机密配置，我使用HashiCorp Vault作为后端。对于其余的配置，我使用GIT repo。因此，我在复合模式下配置了配置服务器。请参阅我的配置服务器引导。yml如下：-

server:
    port: 8888

spring:
    profiles:
        active: local, git, vault

    application:
        name: my-domain-configuration-server

    cloud:
        config:
            server:
                git:
                    uri: https://mygit/my-domain-configuration
                    order: 1
                vault:
                    order: 2
                    host: vault.mydomain.com
                    port: 8200
                    scheme: https
                    backend: mymount/generic

这一切都按预期工作。但是，我使用的代币使用Vault auth策略进行保护。见下文：-

{
    "rules": "path "mymount/generic/myapp-app,local" {
                  policy = "read"
              }

              path "mymount/generic/myapp-app,local/*" {
                  policy = "read"
              }

              path "mymount/generic/myapp-app" {
                  policy = "read"
              }

              path "mymount/generic/myapp-app/*" {
                  policy = "read"
              }

              path "mymount/generic/application,local" {
                  policy = "read"
              }

              path "mymount/generic/application,local/*" {
                  policy = "read"
              }

              path "mymount/generic/application" {
                  policy = "read"
              }

              path "mymount/generic/application/*" {
                  policy = "read"
              }"
}

我的问题是，我没有在所有这些范围内存储秘密。我需要指定所有这些路径，这样我就可以授权令牌从mymount/generic/myapp-app，local中读取一个秘密。如果我没有授权VaultEnvironmentRepository的所有其他路径。read（）方法返回403 HTTP状态码（禁止）并引发VaultException。这将导致无法检索应用程序的任何配置，包括基于GIT的配置。这是非常有限的，因为客户端应用程序可能有多个Spring配置文件，与检索配置项无关。问题是，配置服务器将尝试检索客户端提供的所有活动配置文件的配置。

有没有办法在配置服务器上启用容错或宽容，以便Vault环境存储库不会中止并返回其实际授权返回的任何配置？

Answer 1

你真的需要本地资料吗？你不能在Config Server中使用“vault”和“git”配置文件，并在每个Spring Boot应用程序中使用“默认”配置文件吗？

如果您使用上述建议，那么您在规则（. hcl）文件中只需要两条路径：

path "mymount/generic/application" {
  capabilities = ["read", "list"]
}

和

path "mymount/generic/myapp-app" {
  capabilities = ["read", "list"]
}

这假设您正在将配置写入

vault write mymount/generic/myapp-app

而不是

vault write mymount/generic/myapp-app,local

或类似。