Spring Cloud Vault AWS-EC2身份驗證

的AWS-EC2 AUTH后端提供了一個安全導入機構為AWS EC2實例，允許的Vault令牌自動檢索。與大多數(shù)Vault身份驗證后端不同，此后端不需要先部署或設置安全敏感的憑據(jù)（令牌，用戶名/密碼，客戶端證書等）。而是將AWS視為受信任的第三方，并使用經過加密簽名的動態(tài)元數(shù)據(jù)信息來唯一表示每個EC2實例。

spring.cloud.vault:
    authentication: AWS_EC2

AWS-EC2身份驗證默認使隨機數(shù)遵循首次使用信任（TOFU）原則。任何可以訪問PKCS＃7身份元數(shù)據(jù)的意外用戶都可以針對Vault進行身份驗證。

在首次登錄期間，Spring Cloud Vault生成一個隨機數(shù)，該隨機數(shù)存儲在auth后端中，與實例ID無關。重新認證要求發(fā)送相同的隨機數(shù)。任何其他方都沒有隨機數(shù)，可以在Vault中發(fā)出警報以進行進一步調查。

隨機數(shù)保留在內存中，在應用程序重新啟動期間丟失。您可以使用spring.cloud.vault.aws-ec2.nonce配置靜態(tài)隨機數(shù)。

AWS-EC2身份驗證角色是可選的，默認為AMI。您可以通過設置spring.cloud.vault.aws-ec2.role屬性來配置身份驗證角色。

spring.cloud.vault:
    authentication: AWS_EC2
    aws-ec2:
        role: application-server

spring.cloud.vault:
    authentication: AWS_EC2
    aws-ec2:
        role: application-server
        aws-ec2-path: aws-ec2
        identity-document: http://...
        nonce: my-static-nonce

另請參閱：Vault文檔：使用aws auth后端