是否存在类似AWS Secrets Manager JDBC的Azure Key Vault JDBC包装驱动？

针对你想在Azure环境中实现类似AWS aws-secretsmanager-jdbc 库的功能（无需修改应用代码，从密钥管理服务动态获取数据库凭证注入数据源），Azure官方没有直接对应的JDBC包装驱动，但有几种可行的无代码/低代码修改方案：

1. Spring Boot应用：使用Azure Spring Boot Starter集成Key Vault #

如果你的应用基于Spring Boot，可以通过Azure Spring Boot Starter实现数据源凭证的动态拉取，无需修改业务代码：

• 添加Azure Key Vault和JDBC相关的Starter依赖
• 在application.properties或application.yml中配置数据源，将用户名、密码字段指向Key Vault中的密钥，示例配置：

  spring.datasource.url=jdbc:mysql://your-db-host:3306/db-name
  spring.datasource.username=@azurekeyvault::db-username::
  spring.datasource.password=@azurekeyvault::db-password::
  spring.cloud.azure.keyvault.secret.property-sources[0].endpoint=https://your-vault.vault.azure.net/
  

  应用启动时会自动从Key Vault拉取对应密钥，注入到数据源中。

2. Tomcat容器：自定义数据源工厂 #

如果你是在Tomcat等容器中配置server.xml的数据源，可以自定义一个数据源工厂类，继承容器自带的DataSourceFactory，在初始化阶段从Azure Key Vault拉取凭证：

• 编写AzureKeyVaultDataSourceFactory类，重写getDataSource()方法，通过Azure Key Vault SDK获取用户名和密码，设置到数据源的属性中
• 在server.xml的<Resource>节点中指定该工厂类，示例配置：

  <Resource name="jdbc/MyDB"
            auth="Container"
            type="javax.sql.DataSource"
            factory="com.yourcompany.AzureKeyVaultDataSourceFactory"
            driverClassName="com.mysql.cj.jdbc.Driver"
            url="jdbc:mysql://your-db-host:3306/db-name"
            vaultEndpoint="https://your-vault.vault.azure.net/"
            usernameSecretName="db-username"
            passwordSecretName="db-password"/>
  

  此方案仅需编写工厂类，无需修改应用业务代码。

3. Azure App Service：应用设置引用Key Vault #

如果你的应用部署在Azure App Service，可以利用平台的集成能力，无需修改代码：

• 在App Service的"配置"->"应用程序设置"中，添加数据库用户名、密码的配置项，值设置为Key Vault密钥的引用格式：@Microsoft.KeyVault(SecretUri=https://your-vault.vault.azure.net/secrets/db-username/)
• 应用配置文件中直接读取这些环境变量（如${DB_USERNAME}），App Service会自动在启动或运行时从Key Vault拉取密钥值。

以上方案均无需修改应用核心业务代码，可实现与AWS aws-secretsmanager-jdbc类似的效果。如果这些场景都不匹配，才需要考虑直接在代码中调用Azure Key Vault SDK获取凭证。

内容的提问来源于stack exchange，提问作者ItDepends