AWS EKS上Spring Boot应用使用AWS Secrets访问Oracle RDS的最佳方式咨询

1. 通过密钥管理库注入密钥 #

• 实际落地：用Spring Cloud AWS Secrets Manager Starter或者AWS官方的Secrets Manager Java SDK，直接把RDS密码注入到spring.datasource.password这类配置属性里，不用自己写太多硬编码逻辑。
• 密码轮换自动更新问题：
  • 原生Spring Cloud AWS自动配置不会自动刷新密钥，得手动加刷新机制。要么给配置类加@RefreshScope注解，配合Spring Cloud的/actuator/refresh端点触发刷新；要么用Secrets Manager的事件通知（比如SNS消息触发K8s的Pod重启，或者调用应用的刷新接口）。
  • 要是不想依赖Spring Cloud，自己写定时任务也行：每隔一段时间调用Secrets Manager的API拉最新密码，然后更新数据源的密码——比如用HikariCP的话，调用HikariDataSource.setPassword()后，再调用softEvictConnections()把旧连接踢掉，新连接就用新密码了。
• 核心优势：密钥不会落地到容器文件系统，完全在内存里流转，贴合Spring的配置体系，代码改动少。

2. 使用AWS Secrets Manager CSI驱动挂载密钥 #

• 应用访问方式：
  • 直接读文件当然可以，但绝对别硬编码挂载路径，最好用K8s的环境变量把路径传给应用，比如在Deployment里配置：

    env:
      - name: SECRET_FILE_PATH
        value: /mnt/secrets/rds-password
    

    然后代码里通过环境变量获取路径再读取文件。
  • 更推荐的Spring Boot方式：用spring.config.import直接导入密钥文件。比如在application.yaml里加：

    spring:
      config:
        import: file:/mnt/secrets/rds-creds.properties
    

    把挂载的密钥文件做成键值对格式（比如spring.datasource.username=admin、spring.datasource.password=xxx），Spring会自动把这些加载成配置属性，和你平时写的application配置完全兼容，代码零改动。
  • 注意点：CSI驱动会自动轮换挂载的文件，但Spring Boot默认会缓存配置，所以得开刷新。要么用@RefreshScope，要么结合Spring Cloud Kubernetes的配置刷新能力，不然应用读的还是旧缓存的内容。
• 核心优势：几乎不用改应用代码，也不用引入AWS的SDK依赖，适合不想绑定AWS生态的场景，或者多云部署的情况。

通用经验总结 #

• 优先选密钥库注入的方式，安全性更高，也更符合Spring Boot的开发习惯；如果是多云环境或者不想碰AWS SDK，再考虑CSI挂载。
• 不管用哪种方式，一定要把RDS自动密码轮换和应用配置自动刷新配上，不然密码换了应用还在用旧的，直接连不上数据库。
• 底线：别把密钥硬编码在代码、Docker镜像或者明文配置文件里。

内容的提问来源于stack exchange，提问作者Daptal Ms