Google Secret Manager：不要通过 Spring Boot 从中获得价值

Posted 2023-02-16

【中文标题】Google Secret Manager：不要通过 Spring Boot 从中获得价值

【英文标题】：Google Secret Manager: don't get value from it with Spring Boot

【发布时间】：2020-08-29 09:25:52

【问题描述】：

我按照这篇文章的说明进行操作：https://github.com/spring-cloud/spring-cloud-gcp/tree/master/spring-cloud-gcp-samples/spring-cloud-gcp-secretmanager-sample 启动应用程序后一切正常。

然后我在我的 Spring Boot 应用程序中实现它，我得到 //application-secret 而不是密钥的值。

pom.xml：

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>
    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.2.5.BUILD-SNAPSHOT</version>
        <relativePath/> <!-- lookup parent from repository -->
    </parent>

    <groupId>com.flis</groupId>
    <artifactId>protein</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <name>protein</name>
    <description>Flis Protein Project</description>

    <properties>
        <maven.compiler.target>11</maven.compiler.target>
        <maven.compiler.source>11</maven.compiler.source>
        <start-class>com.flis.protein.ProteinApplication</start-class>
    </properties>

    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-data-jpa</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
        </dependency>

        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-gcp-starter-sql-mysql</artifactId>
        </dependency>

        <!-- used for secret manager -->
        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-gcp-starter-secretmanager</artifactId>
        </dependency>

    </dependencies>

    <dependencyManagement>
        <dependencies>
            <dependency>
                <groupId>org.springframework.cloud</groupId>
                <artifactId>spring-cloud-gcp-dependencies</artifactId>
                <version>1.2.2.RELEASE</version>
                <type>pom</type>
                <scope>import</scope>
            </dependency>
        </dependencies>
    </dependencyManagement>

    <!-- match profiles from spring and maven -->
    <profiles>
        <profile>
            <id>dev</id>
            <properties>
                <activatedProperties>dev</activatedProperties>
            </properties>
            <activation>
                <activeByDefault>true</activeByDefault>
            </activation>
        </profile>
        <profile>
            <id>cloud</id>
            <properties>
                <activatedProperties>cloud</activatedProperties>
            </properties>
        </profile>
    </profiles>

    <build>
        <resources>
            <resource>
                <directory>src/main/resources</directory>
                <filtering>true</filtering>
            </resource>
        </resources>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
            <plugin>
                <groupId>org.apache.maven.plugins</groupId>
                <artifactId>maven-compiler-plugin</artifactId>
                <version>3.8.0</version>
                <configuration>
                    <source>11</source>
                    <target>11</target>
                </configuration>
            </plugin>
            <plugin>
                <groupId>com.google.cloud.tools</groupId>
                <artifactId>appengine-maven-plugin</artifactId>
                <version>2.2.0</version>
                <configuration>
                    <version>recruiter-wtf</version>
                    <projectId>GCLOUD_CONFIG</projectId>
                </configuration>
            </plugin>
        </plugins>
    </build>

</project>

bootstrap.properties

spring.cloud.gcp.secretmanager.bootstrap.enabled=true

my-app-secret-1=$sm://application-secret

控制器：

@RestController
public class DefaultController 

    @Value("$my-app-secret-1")
    private String secret;

    @Value("$sm://application-secret")
    private String appSecret;

    @GetMapping(value = "/")
    public ResponseEntity<String> start() 
        return ResponseEntity.ok("Worked");
    

    @GetMapping(value = "/secret")
    public ResponseEntity<String> getSecret()
        return ResponseEntity.ok(secret + " --- " + appSecret );
    

知道我能做什么吗？

【问题讨论】：

cred.json 是否创建并使用以下属性 spring.cloud.gcp.secretmanager.credentials.location=file:/path/to/creds.json

是的，我为此设置了一个 PathVariable

例如：创建服务帐户，并将私钥保存在 /opt/cred.json spring.cloud.gcp.secretmanager.credentials.location=file:/opt/cred.json 在 Secret manager ，您应该创建一个名为“application-secret”的机密。

谢谢。在 Secret Manager 中，我创建了一个名为“application-secret”的密钥。服务帐户已创建并使用。当我启动应用程序时，我得到Default credentials provider for service account [service account mail]。来自 spring-cloud 的示例（第一行问题）运行良好。

您使用的是 1.2.3 或更高版本的 gcp 插件吗？

【参考方案1】：

问题来自您的前缀。我在您的 bootstrap.properties 文件中没有看到前缀提及。在文件中添加这个

spring.cloud.gcp.secretmanager.secret-name-prefix=sm://

对我有用

【讨论】：

最新版本不需要此项

@guillaume 如何获取 App 引擎应用程序的文件。不需要吗？创建一个新的服务帐户，下载其私钥并将 spring.cloud.gcp.secretmanager.credentials.location 属性指向它。如：spring.cloud.gcp.secretmanager.credentials.location=file:/path/to/creds.json

如果您使用 App Engine，请勿使用服务帐户密钥文件。打开一个新问题，我将能够告诉您为什么以及您可以在 App Engine 上使用的很酷的新功能是什么（几天前发布！）