Spring Cloud Config 配置中心使用说明(5) -- 服务器健康与安全配置

小咪咪 2022-12-02 15:29 93阅读 0赞

# 1. 健康指示 #

配置服务器附带运行状况指示器，检查配置的EnvironmentRepository是否正常工作。默认情况下，EnvironmentRepository默认实现检查应用程序名为app，配置文件为default的库。

您可以配置运行状况指示器以检查更多应用程序以及自定义profiles和自定义label，例如：

spring:
      cloud:
        config:
          server:
            health:
              repositories:
                myservice:
                  label: mylabel
                myservice-dev:
                  name: myservice
                  profiles: development

您可以通过设置spring.cloud.config.server.health.enabled=false来禁用运行状况指示器。

# 2 安全 #

您可以以任何想要的方式（从物理网络安全性到OAuth2令牌）来保护您的Config Server，而Spring Security和Spring Boot可以提供许多安全管理。

要使用Spring Boot默认的HTTP Basic安全认证，只需在类路径中包含Spring Security（例如，通过spring-boot-starter-security）。默认是“user”的用户名和随机生成的密码，这在实践中不会非常有用，因此我们建议您配置密码（通过security.user.password设置）和进行加密（怎么做请参阅以下内容）。

# 3 加密和解密 #

> 重要：  
> 要使用加密和解密功能，您需要在JVM中安装完整的JCE（默认情况下不存在）。您可以从Oracle下载“JJava Cryptography Extension (JCE) Unlimited Strength Jurisdiction Policy Files”，并按照说明安装（实际上将JRE lib / security目录中的2个策略文件替换为您下载的文件）。

如果远程属性源包含加密内容（以\{cipher\}开头的值）），则在通过HTTP发送给客户端之前，它们将被解密。这种设置的主要优点是，当它们被存储时，属性值不必是明文（例如在git仓库中）。如果值无法解密，则从属性源中删除该值，并添加具有相同键的附加属性，但以“invalid”作为前缀，意思是“无法应用”的值（通常为“<n / a>”）。这主要是为了防止密码被意外泄漏。

如果要为配置中心客户端应用程序设置远程配置存储库，可能会包含一个application.yml，例如：  
**application.yml**

spring:
      datasource:
        username: dbuser
        password: '{cipher}FKSAJDFGYOS8F7GLHAKERGFHLSAJ'

.properties文件中的加密值不能用引号括起来，否则不会解密该值。下面的例子无法解密：  
**application.properties**

spring.datasource.username: dbuser
    spring.datasource.password: { cipher}FKSAJDFGYOS8F7GLHAKERGFHLSAJ

您可以安全地将此文本推送到共享git存储库，并且密码被保护。

服务器还暴露了/encrypt和/decrypt端点（假设这些端点将被保护并且只能授权访问）。如果您正在编辑远程配置文件，可以使用Config Server通过POST到/encrypt端点得到加密值，例如：

$ curl localhost:8888/encrypt -s -d mysecret
    
    682bc583f4641835fa2db009355293665d2647dade3375c0ee201de2a49f7bda

> 提示：  
> 如果您使用curl进行测试，则使用–data-urlencode（而不是-d）或设置显式Content-Type: text/plain，以确保在有特殊字符时正确地对数据进行编码（’+'特别棘手）。

> 提示：  
> 注意不要把curl的统计信息当成了加密后的值，因此我们加了-s参数避免输出统计信息。把值输出到文件可以避免这个问题。

可通过/decrypt获得对应的解密数据（需要服务器配置了对称密钥或完整密钥对）：

$ curl localhost:8888/decrypt -s -d 682bc583f4641835fa2db009355293665d2647dade3375c0ee201de2a49f7bda
    mysecret

得到加密后的值，先添加\{cipher\}前缀，然后再将其放在YAML或属性文件中，然后再提交并将其推送到远程，避免不安全的存储。

/encrypt和/decrypt端点也都接受/\*/\{application\}/\{profiles\}形式的路径，当客户端调用主环境资源时，可以使每个应用程序（名称）和配置文件单独控制密码。

> 为了以这种细微的方式控制密码，您还必须提供TextEncryptorLocator类型的@Bean，每个名称和配置文件都会创建一个不同的加密器。默认提供的不会这样做（所有加密使用相同的密钥）。

spring命令行客户端（安装了Spring Cloud CLI扩展名）也可用于加密和解密，例如

$ spring encrypt mysecret --key foo
    682bc583f4641835fa2db009355293665d2647dade3375c0ee201de2a49f7bda
    $ spring decrypt --key foo 682bc583f4641835fa2db009355293665d2647dade3375c0ee201de2a49f7bda
    mysecret

要使用在文件中的密钥（例如用于加密的RSA公钥），使用“@”键入键值，并提供文件路径，例如

$ spring encrypt mysecret --key @${HOME}/.ssh/id_rsa.pub
    AQAjPgt3eFZQXwt8tsHAVv/QHiY5sI2dRcR+...

> 参数–key是必须的（尽管有一个–前缀）。

# 4 密钥管理 #

Config Server可以使用对称（共享）密钥或非对称密钥（RSA密钥对）。非对称选择在安全性方面是优越的，但是使用对称密钥往往更方便，因为它只需在bootstrap.properties配置的一个属性值。  
要配置对称密钥，您只需要给encrypt.key设置一个加密字符串（或使用环境变量ENCRYPT\_KEY，不用通过配置文件设置）。

> 非对称密钥不能通过encrypt.key设置

要配置非对称密钥，您可以使用密钥库（例如由JDK附带的keytool实用程序创建的keystore文件）。密钥库对应的属性为encrypt.keyStore.\*，\*是下面表中的值：

<table> 
 <thead> 
  <tr> 
   <th>属性</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>encrypt.keyStore.location</td> 
   <td>文件位置</td> 
  </tr> 
  <tr> 
   <td>encrypt.keyStore.password</td> 
   <td>keystore密码</td> 
  </tr> 
  <tr> 
   <td>encrypt.keyStore.alias</td> 
   <td>指定要使用keystore中的key</td> 
  </tr> 
  <tr> 
   <td>encrypt.keyStore.type</td> 
   <td>keystore的类型，默认为jks</td> 
  </tr> 
 </tbody> 
</table>

使用公钥进行加密，私钥进行解密。因此，原则上您只能在服务器中配置公钥，如果您只想进行加密（并准备使用私钥在本地解密）。实际上，您可能不想在本地解密，因为它的钥管理流程分散到所有客户端，而不是将其集中在服务器中。另一方面，如果您的配置服务器真的相对不安全，并且只有少数客户端需要加密的属性，这是一个有用的选项。

# 5 创建用于测试的密钥库 #

要创建一个密钥库进行测试，您可以执行以下操作：

$ keytool -genkeypair -alias mytestkey -keyalg RSA \
      -dname "CN=Web Server,OU=Unit,O=Organization,L=City,S=State,C=US" \
      -keypass changeme -keystore server.jks -storepass letmein

> 当你使用的是jdk 11，上面的命令使用的时候可能有下面的警告。此时要检查`keypass`和`storepass`是否正确

Warning:  Different store and key passwords not supported for PKCS12 KeyStores. Ignoring user-specified -keypass value.

将server.jks文件放在类路径（例如）中，然后在配置服务器的bootstrap.yml中：

encrypt:
      keyStore:
        location: classpath:/server.jks
        password: letmein
        alias: mytestkey
        secret: changeme

# 6 使用多个Key和Key轮换 #

除了加密属性值中的\{cipher\}前缀之外，配置服务器在（Base64编码）密文开始之前查找\{name:value\}前缀（零或多个）。密钥被传递给TextEncryptorLocator，它可以执行找到密码的TextEncryptor所需的任何逻辑。如果配置了keystore（encrypt.keystore.location），默认定位器将使用“key”前缀提供的别名(aliases)，如：

foo:
      bar: `{ cipher}{ key:testkey}...`

定位器将寻找一个名为“testkey”的键。也可以通过前缀\{secret:…\}值提供一个secret。但是如果不提供，则使用密钥库密码（即您创建keystore并且不指定secret时）。如果你提供一个了secret,建议你也使用自定义SecretLocator加密它。

如果密钥只用于加密几个字节的配置数据（即它们没有在其他地方使用），则密码轮换几乎不是必需的。但是如果存在安全漏洞，有时您可能需要更改密钥。在这种情况下，所有客户端都需要更改其源配置文件（例如git），并在所有密码中使用新的\{key:…\}前缀。当然，要先检查配置服务器密钥库中的密钥别名可用。

> 如果要让Config Server处理所有加密以及解密，也可以将\{name:value\}前缀通过/encrypt端点明文提供。

# 7 为客户端提供加密配置属性 #

有时您希望客户端在本地解密配置，而不是在服务器中进行。在这种情况下，如果设置了encrypt.\*配置来定位密钥，`/encrypt`和`/decrypt`接口仍然可用，您需要在bootstrap.\[yml|properties\]中使用spring.cloud.config.server.encrypt.enabled=false明确地关闭解密功能。如果您需要那些接口，那么不配置密钥或不配置使能的标志，即可。

[Spring Cloud Config 使用说明(1) – 快速开始][Spring Cloud Config _1_ _]  
[Spring Cloud Config 配置中心使用说明(2) – 服务器+git库][Spring Cloud Config _2_ _ _git]  
[Spring Cloud Config 配置中心使用说明(3) – 服务器+文件存储][Spring Cloud Config _3_ _]  
[Spring Cloud Config 配置中心使用说明(4) – 服务器+数据库存储][Spring Cloud Config _4_ _]  
[Spring Cloud Config 配置中心使用说明(5) – 服务器健康与安全配置][Spring Cloud Config _5_ _]  
[Spring Cloud Config 配置中心使用说明(6) – 服务器 配置文件格式][Spring Cloud Config _6_ _ _]  
[Spring Cloud Config 配置中心使用说明(7) – 服务器 配置变更通知][Spring Cloud Config _7_ _ _]  
[Spring Cloud Config 配置中心使用说明(8) – 客户端][Spring Cloud Config _8_ _]

[Spring Cloud Config _1_ _]: https://blog.csdn.net/xgw1010/article/details/108067033
[Spring Cloud Config _2_ _ _git]: https://blog.csdn.net/xgw1010/article/details/108112195
[Spring Cloud Config _3_ _]: https://blog.csdn.net/xgw1010/article/details/108307758
[Spring Cloud Config _4_ _]: https://blog.csdn.net/xgw1010/article/details/108311633
[Spring Cloud Config _5_ _]: https://blog.csdn.net/xgw1010/article/details/108332736
[Spring Cloud Config _6_ _ _]: https://blog.csdn.net/xgw1010/article/details/108422497
[Spring Cloud Config _7_ _ _]: https://blog.csdn.net/xgw1010/article/details/108426947
[Spring Cloud Config _8_ _]: https://blog.csdn.net/xgw1010/article/details/108428446