Spring Cloud Config加密密钥轮换？Vault动态密钥与Config Client刷新机制 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

Spring Cloud Config 加密密钥轮换：Vault 动态密钥与 Config Client 刷新机制

大家好，今天我们来深入探讨 Spring Cloud Config 中加密密钥轮换的问题，并结合 Vault 动态密钥和 Config Client 刷新机制，构建一个安全可靠的配置管理方案。在微服务架构中，配置管理至关重要，而加密配置更是保护敏感信息（如数据库密码、API 密钥等）的必要手段。但是，静态加密密钥存在泄露的风险，因此密钥轮换成为安全实践的关键环节。

1. 现状：静态密钥的局限性

Spring Cloud Config Server 默认使用对称加密算法（例如 AES）对配置信息进行加密。这意味着我们需要一个共享的密钥，Config Server 使用该密钥对配置加密，Config Client 使用相同的密钥对配置解密。

这种方式存在以下问题：

密钥泄露风险： 静态密钥一旦泄露，所有加密的配置都将暴露。
人工轮换成本高： 手动轮换密钥需要修改 Config Server 和所有 Config Client 的配置，操作繁琐且容易出错。
停机时间： 轮换密钥可能需要重启 Config Server 和 Config Client，导致服务中断。

2. 解决方案：Vault 动态密钥

Vault 是一个用于安全地存储和访问密钥、密码、证书等敏感信息的工具。 Vault 提供了动态密钥生成的功能，可以按需生成密钥，并设置密钥的有效期。

结合 Vault，我们可以实现以下目标：

自动化密钥轮换： Vault 会自动轮换密钥，无需人工干预。
减少密钥泄露风险： 动态密钥有效期短，即使泄露，影响范围也有限。
简化配置管理： Config Server 和 Config Client 不需要存储静态密钥，只需要从 Vault 获取密钥即可。

3. 实现步骤

下面我们将逐步介绍如何使用 Vault 动态密钥和 Config Client 刷新机制来实现加密密钥轮换。

3.1. Vault 配置

首先，我们需要安装和配置 Vault。这里假设 Vault 已经安装并运行。

我们需要配置一个 Transit Secret Engine，用于加密和解密数据。 Transit Secret Engine 支持密钥轮换。

# 启用 Transit Secret Engine
vault secrets enable -path=transit transit

# 创建一个密钥
vault write transit/keys/my-config-key

现在，我们已经创建了一个名为 my-config-key 的密钥，Vault 将使用该密钥进行加密和解密。

3.2. Spring Cloud Config Server 配置

接下来，我们需要配置 Spring Cloud Config Server，使其从 Vault 获取密钥。

首先，添加必要的依赖：

<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-starter-vault-config</artifactId>
</dependency>

然后，在 application.yml 或 application.properties 中配置 Vault 连接信息：

spring:
  cloud:
    vault:
      host: 127.0.0.1 # Vault 地址
      port: 8200       # Vault 端口
      scheme: http     # Vault 协议
      authentication: TOKEN # 认证方式，这里使用 Token
      token: s.xxxxxxxxxxxxxxxxxxxxxxxx # Vault Token
      kv:
        enabled: false #禁用 KV engine
      transit:
        key: my-config-key # Vault Transit Secret Engine 的密钥名称
        path: transit # Vault Transit Secret Engine 的路径

注意，我们需要将 spring.cloud.vault.token 替换为实际的 Vault Token。还可以使用其他认证方式，例如 AppRole。

现在，Config Server 将使用 Vault 的 Transit Secret Engine 来加密和解密配置。

3.3. Spring Cloud Config Client 配置

Config Client 也需要配置 Vault 连接信息。添加与Config Server 相同的依赖：

<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-starter-vault-config</artifactId>
</dependency>

然后在 bootstrap.yml 或 bootstrap.properties 中配置 Vault 连接信息：

spring:
  cloud:
    vault:
      host: 127.0.0.1 # Vault 地址
      port: 8200       # Vault 端口
      scheme: http     # Vault 协议
      authentication: TOKEN # 认证方式，这里使用 Token
      token: s.xxxxxxxxxxxxxxxxxxxxxxxx # Vault Token
      kv:
        enabled: false #禁用 KV engine
      transit:
        key: my-config-key # Vault Transit Secret Engine 的密钥名称
        path: transit # Vault Transit Secret Engine 的路径

同样，需要将 spring.cloud.vault.token 替换为实际的 Vault Token。

3.4. 配置加密

现在，我们可以加密配置了。在 Config Server 的配置文件中，使用 {cipher} 前缀来加密敏感信息：

database:
  password: "{cipher}AES-128:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"

Config Server 会自动使用 Vault 的 Transit Secret Engine 对 xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 进行加密。

3.5. Config Client 刷新

为了在密钥轮换后，Config Client 能够自动获取新的密钥，我们需要使用 Spring Cloud Bus 和 @RefreshScope 注解。

首先，添加 Spring Cloud Bus 的依赖：

<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-starter-bus-amqp</artifactId>
</dependency>

然后，配置 Spring Cloud Bus：

spring:
  cloud:
    bus:
      enabled: true
      id: my-application
    stream:
      bindings:
        output:
          destination: config-topic
          content-type: application/json

这里使用 RabbitMQ 作为消息中间件。你需要安装和配置 RabbitMQ。

接下来，在需要动态刷新的 Bean 上添加 @RefreshScope 注解：

import org.springframework.beans.factory.annotation.Value;
import org.springframework.cloud.context.config.annotation.RefreshScope;
import org.springframework.stereotype.Component;

@Component
@RefreshScope
public class MyComponent {

    @Value("${database.password}")
    private String password;

    public String getPassword() {
        return password;
    }
}

现在，当 Vault 轮换密钥后，我们可以通过发送一个 RefreshRemoteApplicationEvent 事件来通知 Config Client 刷新配置：

import org.springframework.cloud.bus.event.RefreshRemoteApplicationEvent;
import org.springframework.context.ApplicationEventPublisher;
import org.springframework.stereotype.Component;

@Component
public class RefreshConfig {

    private final ApplicationEventPublisher publisher;

    public RefreshConfig(ApplicationEventPublisher publisher) {
        this.publisher = publisher;
    }

    public void refresh() {
        publisher.publishEvent(new RefreshRemoteApplicationEvent(this, "my-application", null));
    }
}

可以通过 HTTP 端点、定时任务或者其他方式来触发 refresh() 方法。

4. 代码示例

下面是一个完整的代码示例，展示了如何使用 Vault 动态密钥和 Config Client 刷新机制：

Config Server:

application.yml:

server:
  port: 8888

spring:
  application:
    name: config-server
  cloud:
    config:
      server:
        git:
          uri: https://github.com/your-username/your-config-repo # 替换为你的 Git 仓库地址
          username: your-username # 替换为你的 Git 用户名
          password: your-password # 替换为你的 Git 密码
    vault:
      host: 127.0.0.1
      port: 8200
      scheme: http
      authentication: TOKEN
      token: s.xxxxxxxxxxxxxxxxxxxxxxxx
      kv:
        enabled: false
      transit:
        key: my-config-key
        path: transit

  profiles:
    active: native

MyConfig.yml (存储在 Git 仓库中):

database:
  password: "{cipher}AES-128:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx" # 替换为加密后的密码

Config Client:

bootstrap.yml:

spring:
  application:
    name: config-client
  cloud:
    config:
      uri: http://localhost:8888 # Config Server 地址
    vault:
      host: 127.0.0.1
      port: 8200
      scheme: http
      authentication: TOKEN
      token: s.xxxxxxxxxxxxxxxxxxxxxxxx
      kv:
        enabled: false
      transit:
        key: my-config-key
        path: transit
  cloud:
    bus:
      enabled: true
      id: my-application
    stream:
      bindings:
        output:
          destination: config-topic
          content-type: application/json

MyComponent.java:

import org.springframework.beans.factory.annotation.Value;
import org.springframework.cloud.context.config.annotation.RefreshScope;
import org.springframework.stereotype.Component;

@Component
@RefreshScope
public class MyComponent {

    @Value("${database.password}")
    private String password;

    public String getPassword() {
        return password;
    }
}

RefreshConfig.java:

import org.springframework.cloud.bus.event.RefreshRemoteApplicationEvent;
import org.springframework.context.ApplicationEventPublisher;
import org.springframework.stereotype.Component;

@Component
public class RefreshConfig {

    private final ApplicationEventPublisher publisher;

    public RefreshConfig(ApplicationEventPublisher publisher) {
        this.publisher = publisher;
    }

    public void refresh() {
        publisher.publishEvent(new RefreshRemoteApplicationEvent(this, "config-client", null));
    }
}

MyController.java:

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class MyController {

    @Autowired
    private MyComponent myComponent;

    @Autowired
    private RefreshConfig refreshConfig;

    @GetMapping("/password")
    public String getPassword() {
        return myComponent.getPassword();
    }

    @GetMapping("/refresh")
    public String refreshConfig() {
        refreshConfig.refresh();
        return "Config refreshed";
    }
}

5. 注意事项

Vault 权限： 确保 Config Server 和 Config Client 具有访问 Vault Transit Secret Engine 的权限。
密钥有效期： 根据安全需求设置 Vault 密钥的有效期。
错误处理： 在 Config Server 和 Config Client 中添加适当的错误处理机制，以处理 Vault 连接失败、密钥获取失败等情况。
监控： 监控 Vault 和 Config Server 的运行状态，及时发现和解决问题。
认证方式： 除了 Token 认证，还可以使用 AppRole 等其他认证方式。AppRole 更适合生产环境，因为它不需要在配置文件中存储 Token。
Config Server 缓存： Config Server 默认会缓存配置信息。如果需要立即生效，可以禁用缓存或手动清除缓存。
Spring Cloud Bus 选择： 除了 RabbitMQ，还可以使用 Kafka 等其他消息中间件。

6. 总结

通过结合 Vault 动态密钥和 Config Client 刷新机制，我们可以实现自动化的加密密钥轮换，提高配置管理的安全性。这种方案可以有效降低密钥泄露风险，简化配置管理，并减少服务中断时间。

7. 一些想法和建议

通过Vault动态密钥和Config Client刷新机制，可以实现加密密钥的自动轮换。 Vault 提供安全密钥管理，Config Client 刷新机制则确保及时更新配置，从而提升系统的安全性，减少人工干预。在实际应用中，务必注意Vault的权限配置、密钥的有效期设置，以及错误处理机制的完善，以确保整个系统的稳定性和安全性。

Spring Cloud Config 加密密钥轮换：Vault 动态密钥与 Config Client 刷新机制

发表回复 取消回复

发表回复取消回复