后端认证鉴权密钥管理密码学【免费下载链接】openbaoOpenBao is a software solution to manage, store, and distribute sensitive data including secrets, certificates, and keys.项目地址https://gitcode.com/GitHub_Trending/op/openbao点击查看免费下载OpenBao 内置了名为plugin-database-valkey的数据库插件用于将 Valkey同时兼容 Redis纳入 OpenBao 的数据库凭据管理系统实现敏感凭据的自动化生成、轮转与回收。本文以该插件在仓库中的文档与源码为依据完整讲解其构建、测试、安装注册、连接初始化、动态角色、静态角色、Spring Cloud Vault 集成以及本地开发工作流帮助你直接把 Valkey 密钥管理落地到生产环境。插件概览与技术底座plugin-database-valkey是一个实现 OpenBao以及兼容的 Vault数据库插件接口的 Valkey 插件源码位于仓库的 internal/builtin/database/valkey 目录。它的核心能力有三项静态用户角色Static Roles为 Valkey 中已存在的用户管理凭据并周期性轮转密码动态用户角色Dynamic Roles按需创建带有指定 ACL 规则的新用户租约到期后自动删除Root 凭据轮转通过database/rotate-root端点轮转管理员的密码。插件本身与 Redis 兼容文档明确说明 This plugin should be compatible with Redis它基于 Vault 0.7.1 引入的数据库插件接口构建当前仓库中使用的是dbplugin/v5协议版本。插件入口在 valkey-database-plugin/main.govalkey.New()实例化数据库对象后由dbplugin.Serve启动 RPC 服务以独立进程的方式与 OpenBao 主程序通信。在 OpenBao 中该插件作为内置插件编译进主程序位于internal/builtin/database下同时保留了独立可执行二进制vault-plugin-database-valkey的构建方式因此既可以直接使用内置插件也可以按外部插件目录方式注册。构建插件make dev 与静态编译开发版构建在插件目录内执行make dev即可得到开发版二进制。对应的 Makefile 规则见 Makefile实际执行的是CGO_ENABLED0 go build -o bin/vault-plugin-database-valkey cmd/vault-plugin-database-valkey/main.go静态编译的必要性如果你在创建 Valkey 连接时遇到如下错误说明插件二进制依赖了动态链接库OpenBao 在/config/plugin/下无法执行它Error writing data to database/config/my-valkey: Error making API request. URL: PUT http://127.0.0.1:8200/v1/database/config/my-valkey Code: 400. Errors: * error creating database object: invalid database version: 2 errors occurred: * fork/exec /config/plugin/vault-plugin-database-valkey: no such file or directory * fork/exec /config/plugin/vault-plugin-database-valkey: no such file or directory此时应改用显式静态编译命令重新构建CGO_ENABLED0 go build -ldflags-extldflags-static -o vault-plugin-database-valkey ./cmd/vault-plugin-database-valkey/CGO_ENABLED0关闭 cgo-ldflags-extldflags-static强制静态链接外部库保证二进制在目标运行环境如容器或精简系统中可独立执行。Makefile 中的dev目标本身已带CGO_ENABLED0若仍遇到上述问题则按文档补充静态链接标志。测试Docker 容器自动编排与多环境变量控制基本测试流程在插件目录执行go test时测试代码会自动拉起docker.io/valkey/valkey:latest镜像等待数据库就绪后运行一组基础测试。相关实现见 valkey_test.go测试通过 dockertest 启动容器、绑定 6379 端口并反复重试连接直至就绪。可通过环境变量控制测试目标环境变量作用VALKEY_VERSION指定要测试的 Valkey 镜像标签例如VALKEY_VERSION5.0-buster默认latestTEST_VALKEY_HOST若已有一个本地或容器化的 Valkey 实例设置该变量后测试将直接连接TEST_VALKEY_HOST:6379不再拉起 Docker 容器TEST_VALKEY_TLS非空时启用 TLS 测试模式需配合CA_CERT_FILE提供 CA 证书BAO_ACC文档中为VAULT_ACC置为1后执行全部验收acceptance测试注意仓库测试代码中读取的是api.ReadBaoVariable(BAO_ACC)见 valkey_test.go这是 OpenBao 对 Vault 环境变量VAULT_ACC的对应替代建议以BAO_ACC1为准。前置的 ACL 用户要求测试假设 Valkey 实例中存在一个默认用户且 ACL 设置为user default on default-pa55w0rd ~* all若你的实例不符合该配置需要把测试代码 valkey_test.go 中预置的管理员用户名/密码Administrator/password对齐到你的实际账号。测试启动时会用default用户依次创建Administrator、rotate-root、vault-edu等测试用户。只运行部分测试不需要跑全量测试时可用-run过滤子测试例如go test -run TestDriver/InitTestDriver下包含了 Init无 TLS / TLS / connection_url、Create/Revoke多种 ACL 规则组合、Rotate、Creds、Secret 脱敏、超时计算等子测试覆盖插件全部核心路径见 valkey_test.go。安装与注册插件配置插件目录OpenBao 的数据库插件以独立二进制运行需要先在 OpenBao 服务端配置plugin_directory指令指向一个专用目录然后把上一步生成的vault-plugin-database-valkey可执行文件放入该目录。注册到插件目录以 Vault 风格的 CLI 示例OpenBao 对应使用bao命令执行$ SHA256$(shasum -a 256 plugins/vault-plugin-database-valkey | cut -d -f1) $ vault secrets enable database $ vault write sys/plugins/catalog/database/vault-plugin-database-valkey sha256$SHA256 \ commandvault-plugin-database-valkey这里先计算二进制 SHA-256 作为校验值再启用databasesecrets 引擎最后把插件写入数据库类插件目录sys/plugins/catalog/database/。版本兼容性警告该插件使用了较新的数据库插件接口与 1.6.0 之前的 Vault 版本不兼容。在旧版本 Vault 上可以完成注册但初始化连接时会报协议不匹配错误Error writing data to database/config/my-valkey: Error making API request. URL: PUT http://127.0.0.1:8200/v1/database/config/my-valkey Code: 400. Errors: * error creating database object: Incompatible API version with plugin. Plugin version: 5, Client versions: [3 4]Plugin version: 5表明插件使用 v5 协议而旧客户端只支持 v3/v4。OpenBao 基于较新的 Vault 版本衍生无此限制但若你混用旧版 Vault 生态需留意。初始化数据库连接配置参数与校验规则注册完成后即可初始化插件连接 Valkey。初始化前必须创建一个管理员账号OpenBao 将使用该账号去创建/更新/撤销其他数据库用户因此该用户必须拥有admin规则才有权限对其他用户执行操作。Standalone Valkey 服务器$ vault write database/config/my-valkey plugin_namevault-plugin-database-valkey \ hostlocalhost port6379 usernameAdministrator passwordpassword \ allowed_rolesmy-valkey-*-role # 建议轮转管理员密码。注意轮转后的新密码永远不会通过 Vault 再暴露给你 # 因此建议为 Vault 单独创建一个专用数据库管理员账号。 $ vault write -force database/rotate-root/my-valkey支持的全部连接参数从连接生产者源码 connection_producer.go 可以看到插件支持以下配置项参数类型说明hoststringValkey 主机地址不能为空portint端口不能为 0usernamestring管理员用户名不能为空passwordstring管理员密码不能为空tlsbool是否启用 TLS 加密连接insecure_tlsbool是否跳过服务端证书校验测试环境常用ca_certstringCA 证书 PEM 内容tlstrue时必填connection_urlstring完整的连接 URL与上述单独参数互斥源码中的校验逻辑connection_producer.go规定connection_url与host/port/username/password/tls不能同时指定单独指定时host、port、username、password均不能为空启用 TLS 后ca_cert不能为空。使用 connection_url 连接也可以直接用连接 URL 初始化// 测试中构造的 URL 格式见 valkey_test.go 中的 ConnectionURL 用例 valkey://Administrator:password0.0.0.0:6379源码解析逻辑connection_producer.go说明connection_url中的用户名密码会被解析为管理员凭据若 scheme 为valkeys://带 s插件会自动开启 TLS。TLS 连接使用 TLS 时需提供 CA 证书$ vault write database/config/my-valkey plugin_namevault-plugin-database-valkey \ hostlocalhost port6379 usernameAdministrator passwordpassword \ tlstrue ca_cert$(cat ca.pem) insecure_tlsfalseTLS 模式下连接池会以tls.Dialer建立连接加载ca_cert到根证书池并按insecure_tls决定是否跳过服务端校验见 connection_producer.go。动态角色按 ACL 规则按需生成用户creation_statements 与默认规则创建角色时需要提供一个 JSON 字符串内容为 Valkey ACL 规则可用ACL CAT命令查看全部分类。如果未提供creation_statements新用户将默认采用只读规则[~*, read]即可以读取任意 key 但不能写入。该默认值在源码中定义为defaultValkeyUserRule见 valkey.go。# 创建管理员权限的动态角色 $ vault write database/roles/my-valkey-admin-role db_namemy-valkey \ default_ttl5m max_ttl1h creation_statements[admin] # 创建仅能读 foo 前缀 key 的只读角色 $ vault write database/roles/my-valkey-read-foo-role db_namemy-valkey \ default_ttl5m max_ttl1h creation_statements[~foo, read] Success! Data written to: database/roles/my-valkey-read-foo-role规则字符串的两种写法源码 newUser 函数 展示了creation_statements的解析方式插件会先尝试把第一条语句按 JSON 数组解析为 ACL 规则列表若解析失败则将其当作原始字符串数组逐条应用。这意味着以下两种写法都合法# 写法一单个 JSON 数组推荐 creation_statements[admin] # 写法二多个原始规则字符串 creation_statements[read, ~*]读取动态凭据生成用户后通过database/creds/role读取凭据$ vault read database/creds/my-valkey-admin-role Key Value --- ----- lease_id database/creds/my-valkey-admin-role/OxCTXJcxQ2F4lReWPjbezSnA lease_duration 5m lease_renewable true password dACqHsav6-attdv1glGZ username V_TOKEN_MY-VALKEY-ADMIN-ROLE_YASUQUF3GVVD0ZWTEMK4_1608481717 $ vault read database/creds/my-valkey-read-foo-role Key Value --- ----- lease_id database/creds/my-valkey-read-foo-role/Yn99BrX4t0NkLyifm4NmsEUB lease_duration 5m lease_renewable true password ZN6gdTKszk7oc9Oztc-o username V_TOKEN_MY-VALKEY-READ-FOO-ROLE_PUAINND1FC5XQGRC0HIF_1608481734租约到期后插件会执行ACL DELUSER删除该用户见 valkey.go。动态用户名由 OpenBao 依据租约 display name 与角色名生成credsutil.GenerateUsername并统一转为大写见 valkey.go形如V_TOKEN_MY-VALKEY-ADMIN-ROLE_...。静态角色为已存在用户管理密码与动态角色不同静态角色的目标用户必须已经存在于 Valkey 的 ACL 列表中插件只负责周期性轮转该用户的密码。前置条件与常见错误以已存在的vault-edu用户为例。若用户不存在会得到如下错误Error writing data to database/static-roles/static-account: Error making API request. URL: PUT http://127.0.0.1:8200/v1/database/static-roles/static-account Code: 400. Errors: * cannot update static account username创建静态角色$ vault write database/static-roles/static-account db_nameinsecure-valkey \ usernamevault-edu rotation_period5m Success! Data written to: database/static-roles/static-accountrotation_period5m表示每 5 分钟自动轮转一次该用户密码。读取静态凭据$ vault read database/static-creds/static-account Key Value --- ----- last_vault_rotation 2020-12-20T10:39:49.647822-06:00 password ylKNgqa3NPVAioBf-0S5 rotation_period 5m ttl 3m59s username vault-edu输出中的ttl是距离下次轮转的剩余时间last_vault_rotation是上一次轮转时间点。Spring Cloud Vault 集成为 Spring 应用动态注入凭据插件支持通过 Spring Cloud Vault 把动态生成的 Valkey 凭据注入 Spring 应用。方案是使用org.springframework.cloud:spring-cloud-vault-config-databases依赖并采用官方文档的 Multiple Databases 配置方式。以下application.yml示例已省略无关配置spring: cloud: vault: host: 127.0.0.1 port: 8200 authentication: TOKEN token: ${VAULT_TOKEN} databases: valkey: enabled: true role: my-valkey-role backend: database username-property: spring.valkey.username password-property: spring.valkey.password config: import: vault://集成后Spring 应用每次启动都会向 OpenBao 的database/creds/my-valkey-role申请一份新的 Valkey 凭据并通过spring.valkey.username/spring.valkey.password属性注入到 Valkey 连接配置中。注意事项Spring Cloud Vault 目前不支持max_ttl因此在为 Spring 集成创建角色时应把max_ttl设为0否则租约续期行为可能不符合预期。本地开发工作流Makefile 目标一览插件提供了一组 make 目标方便在本地 Vault/OpenBao 服务上快速迭代。流程假设本地已有一个运行中的 Vault 服务及可用的vaultCLI。make setup-env启动 Valkey Docker 容器并初始化一个测试用户。仓库实际的 Terraform 配置 redis.tf 中导出的是用户名us4rn4m3、密码user-pa55w0rdREADME 正文写作us3rn4m3以仓库实际文件为准并生成local_environment_setup.sh供下一步 sourcesource ./bootstrap/terraform/local_environment_setup.sh导出TEST_VALKEY_HOST、TEST_VALKEY_PORT、TEST_VALKEY_USERNAME、TEST_VALKEY_PASSWORD等环境变量make configure构建插件、注册到本地 Vault 服务并执行示例命令验证一切正常。其底层脚本 configure.sh 会依次执行反注册旧插件、禁用并重新启用database引擎、按 SHA-256 注册插件、写入database/config/local-valkey连接配置、创建my-dynamic-role动态角色并vault read读取凭据验证make testacc对 setup 阶段创建的 Valkey 容器运行验收测试等价于BAO_ACC1 go testmake teardown-env停止 Valkey 容器并清理生成的网络等资源。迭代修改代码时可以反复执行make configure以通过 Vault CLI 或 API 测试最新改动。开发环境所用的容器定义在 docker-compose.yml镜像为valkey/valkey-stack-server:latest启动命令为valkey-server --requirepass default-pa55w0rd --user us4rn4m3 on user-pa55w0rd ~* allcommands即设置了默认密码并创建了上述测试用户。底层实现原理速览从源码层面看该插件的凭据生命周期完全构建在 Valkey 的 ACL 命令之上创建用户ACL SETUSER username ON password rules...其中规则来自creation_statements或默认的[~*, read]valkey.go删除用户ACL DELUSER usernamevalkey.go并且测试刻意验证了对不存在用户重复删除也不会报错符合插件作者指南中 revoke operations should ignore not-found errors 的要求见 valkey_test.go改密/轮转先ACL GETUSER username确认用户存在用户不存在会返回 user not found 错误再ACL SETUSER username RESETPASS newpassword重置密码valkey.go错误脱敏插件通过dbplugin.NewDatabaseErrorSanitizerMiddleware包裹借助secretValues()把密码、用户名替换为[password]、[username]占位符避免敏感信息泄露到日志与 API 错误中valkey.go、connection_producer.go连接池与超时底层使用 radix v4 连接池TLS 与非 TLS 两种拨号方式均支持默认操作超时为 20 秒defaultTimeout若请求上下文带有 deadline 则优先取上下文剩余时间computeTimeout见 valkey.go。理解了这些实现细节你在排查连接失败、权限不足或轮转异常时就能快速定位到对应的 ACL 命令与配置项从而更高效地把 OpenBao 的 Valkey 凭据管理能力落地到自己的环境。赞分享后端认证鉴权密钥管理密码学【免费下载链接】openbaoOpenBao is a software solution to manage, store, and distribute sensitive data including secrets, certificates, and keys.项目地址https://gitcode.com/GitHub_Trending/op/openbao点击查看免费下载相关推荐Boundary凭证管理终极指南静态凭证与动态Vault集成实战Boundary凭证管理终极指南静态凭证与动态Vault集成实战 在现代IT架构中安全高效的凭证管理是保护动态基础设施的核心环节。Boundary作为HasFerretDB 与 HashiCorp Vault 集成实战为 MongoDB 兼容数据库动态颁发凭据FerretDB 与 HashiCorp Vault 集成实战为 MongoDB 兼容数据库动态颁发凭据 无论应用如何健壮只要数据库凭据database后端数据库文档数据库Eleventy与MongoDB集成静态站点中的动态数据管理Eleventy与MongoDB集成静态站点中的动态数据管理 你是否还在为静态站点无法高效处理动态数据而烦恼本文将带你通过Eleventy的数据管理机制从前端开发工具创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
