AWS EKS中Spring Boot应用安全注入RDS凭证的最佳实践咨询

针对你在EKS上部署Spring Boot应用、替换RDS凭证硬编码的需求，结合AWS Secrets Manager的两种常用集成方式，以下是具体解答和实操步骤：

疑问1：库注入时密码轮换是否自动更新？ #

默认情况下，直接使用AWS Secrets Manager Java SDK或Spring Cloud AWS集成不会自动更新已加载的凭证——应用会缓存初始拉取的凭证值。要实现自动更新，需配置刷新机制：

• 用Spring Cloud AWS Secrets Manager Starter配合@RefreshScope：在配置类上添加@RefreshScope注解，启用Spring Cloud的刷新能力。开启Secrets Manager密码轮换后，可通过Spring Actuator的/actuator/refresh端点手动触发刷新，或用@Scheduled定时任务定期调用Secrets Manager API拉取最新凭证。
• 注意：如果使用AWS官方的密码轮换Lambda，轮换完成后SDK每次调用都会获取最新值，但应用层的缓存仍需手动/自动清理刷新。

疑问2：CSI驱动挂载后Spring Boot如何访问？ #

推荐用Spring Boot的外部配置绑定能力，而非直接读取文件，具体方式如下：

1. 配置绑定（推荐）：将Secrets挂载到容器的/secrets目录后，在application.yaml中通过文件路径引用：

   spring.datasource.username: ${file:/secrets/db-username}
   spring.datasource.password: ${file:/secrets/db-password}
   

   Spring Boot会自动读取文件内容作为配置值，无需编写额外文件读取代码。
2. 直接读取文件（不推荐）：用Java File API读取挂载目录下的文件，但需处理IO异常，且不利于统一配置管理，仅适用于特殊场景。

整体实操步骤 #

前置配置：IRSA权限 #

给EKS的Pod ServiceAccount绑定IAM策略，授予secretsmanager:GetSecretValue等访问目标Secret的最小权限，遵循最小权限原则。

方式一：Spring Cloud AWS库注入 #

1. 添加Maven依赖：

   <dependency>
       <groupId>io.awspring.cloud</groupId>
       <artifactId>spring-cloud-starter-aws-secrets-manager-config</artifactId>
   </dependency>
   

2. 在bootstrap.yaml中配置Secret ARN：

   spring:
     cloud:
       aws:
         secretsmanager:
           secret-name: arn:aws:secretsmanager:你的区域:账号ID:secret:你的RDS凭证Secret
   

3. 给配置类添加@RefreshScope，并启用Actuator的刷新端点以支持凭证更新。

方式二：Secrets Manager CSI驱动挂载 #

1. 安装CSI驱动到EKS集群（可通过Helm或kubectl官方配置文件）。
2. 创建StorageClass：

   apiVersion: storage.k8s.io/v1
   kind: StorageClass
   metadata:
     name: secretsmanager-csi
   provisioner: secretsmanager.csi.aws.com
   parameters:
     secretProviderClass: "rds-secret-provider"
   

3. 创建SecretProviderClass指定Secret信息：

   apiVersion: secrets-store.csi.x-k8s.io/v1
   kind: SecretProviderClass
   metadata:
     name: rds-secret-provider
   spec:
     provider: aws
     parameters:
       secrets: |
         - secretArn: arn:aws:secretsmanager:你的区域:账号ID:secret:你的RDS凭证Secret
       region: 你的区域
     secretObjects:
       - data:
           - key: db-username
             objectName: username
           - key: db-password
             objectName: password
         secretName: rds-db-secret
         type: Opaque
   

4. 在Pod配置中挂载Secret存储卷：

   volumes:
     - name: secrets-store-inline
       csi:
         driver: secretsmanager.csi.aws.com
         readOnly: true
         volumeAttributes:
           secretProviderClass: "rds-secret-provider"
   

行业标准要点 #

• 严格遵循零信任模型，禁止硬编码凭证，所有敏感信息统一存储在Secrets Manager等安全存储服务中。
• 优先使用Spring Cloud生态的配置集成方案，减少自定义代码，提升应用可维护性。
• 密码轮换后必须保证凭证能及时刷新，避免因凭证过期导致服务中断，可结合监控告警机制确保刷新流程正常运行。

内容的提问来源于stack exchange，提问作者Daptal Ms