###
Spring Cloud Vault 的
使用指南与
配置示例
Spring Cloud Vault 是一个用于将
HashiCorp Vault 集成到
Spring Boot 应用程序中的工具，它使得从
Vault 中安全地获取机密信息并将其注入到应用程序的
配置中成为可能。通过这种方式，可以实现敏感数据（如数据库
密码、API 密钥等）的安全管理，同时避免将这些信息硬编码在代码或
配置文件中。
#### 1. 添加依赖
要在
Spring Boot 项目中启用
Spring Cloud Vault 功能，首先需要在 `pom.xml` 或 `build.gradle` 文件中添加相应的依赖项。以下是 Maven
和 Gradle 的依赖
配置示例：
**Maven:**
```xml
<dependency>
<groupId>org.
springframework.
cloud</groupId>
<artifactId>
spring-cloud-starter
-vault-config</artifactId>
<version>3.1.0</version> <!
-- 请根据实际
使用的
Spring Boot 版本选择合适的版本
-->
</dependency>
```
**Gradle:**
```groovy
implementation 'org.
springframework.
cloud:
spring-cloud-starter
-vault-config:3.1.0'
```
此外，还需要确保项目的父 POM 或 BOM 中包含了
Spring Cloud 的依赖管理，以便正确解析所有相关的库。
#### 2.
配置 Vault 连接信息
接下来，在 `
bootstrap.yml` 或 `application.yml` 文件中
配置连接到
Vault 所需的基本参数。以下是一个典型的
配置示例：
```yaml
spring:
application:
name: my
-app
cloud:
vault:
uri: http://localhost:8200
token: s.abc123xyz # 替换为你的
Vault token
kv:
enabled: true
backend: secret # 指定 KV 引擎的路径，默认是 "secret"
authentication: TOKEN # 可选：默认已经是 TOKEN 认证方式
```
- **uri**:
Vault 服务器的地址。
- **token**: 用于认证的
Vault token。该 token 必须具有
访问指定路径的权限。
- **kv.enabled**: 是否启用 KV 引擎支持。
- **kv.backend**: KV 引擎挂载的路径，默认为 `secret`。
如果
使用的是其他认证方式（例如 AWS IAM 认证），则需要调整 `authentication` 字段，并提供额外的
配置参数[^2]。
#### 3. 在
Vault 中
存储机密
假设你已经在
Vault 中启用了 KV 引擎，并且挂载路径为 `secret`，你可以通过以下命令或 UI 界面来
存储机密数据：
```bash
vault kv put secret/myapp/config username=admin password=secretpassword
```
这将在路径 `secret/myapp/config` 下创建两个键值对：`username`
和 `password`。
#### 4. 在
Spring Boot 应用中引用
Vault 中的机密
一旦
配置完成并且应用启动时成功连接到了
Vault，
Spring 将自动加载位于 `secret/${
spring.application.name}` 路径下的所有键值对，并将其作为属性源（PropertySource）注入到环境中。因此，可以直接在代码中通过 `@Value` 注解或 `@ConfigurationProperties` 来
使用这些属性。
**示例：**
```
java
import org.
springframework.beans.factory.annotation.Value;
import org.
springframework.stereotype.Component;
@Component
public class AppConfig {
@Value("${username}")
private String username;
@Value("${password}")
private String password;
// Getters and setters
}
```
或者
使用 `@ConfigurationProperties`
绑定一组相关属性：
```
java
import org.
springframework.
boot.context.properties.ConfigurationProperties;
import org.
springframework.stereotype.Component;
@Component
@ConfigurationProperties(prefix = "")
public class AppConfig {
private String username;
private String password;
// Getters and setters
}
```
这样就可以轻松地从
Vault 中获取并
使用机密信息了。
#### 5.
使用 Vault 作为分布式
配置中心
除了简单的机密管理外，还可以利用
Vault 的 KV 引擎来充当分布式
配置中心的角色。虽然 Nacos、Consul 等工具更为常见，但在某些场景下，
Vault 提供了一种更加统一的方式来管理
和分发敏感
配置信息[^1]。
为了更好地组织不同环境（开发、测试、生产）之间的
配置差异，可以在
Vault 中按照命名空间的方式进行划分。例如：
```bash
vault kv put secret/myapp/dev config.key1=valueA config.key2=valueB
vault kv put secret/myapp/prod config.key1=valueX config.key2=valueY
```
然后在
Spring Boot 应用的 `
bootstrap.yml` 中设置激活的 profile：
```yaml
spring:
profiles:
active: dev
```
此时，应用会自动读取 `secret/myapp/dev` 下的所有
配置项。
#### 6. 安全性
和最佳实践
- **最小权限原则**：为每个应用程序分配仅限于其所需路径的最小权限策略。
- **定期轮换凭证**：利用
Vault 的动态凭证生成功能（如数据库凭证），减少长期暴露静态
密码的风险。
- **加密通信**：确保
Vault 服务与客户端之间始终通过 HTTPS 协议通信。
- **令牌生命周期管理**：对于长时间运行的服务，建议
使用短期令牌结合自动刷新机制，以提高安全性[^3]。
---
本文介绍了如何将Spring应用绑定到HashiCorpVault，以安全地存储和管理云应用中的敏感数据，通过SpringCloudVault中介，实现了动态访问加密信息的功能。
扫一扫
869
到【灌水乐园】发言
