如何安全地向oidc.json传递credentials.secret（WildFly+K8s场景）

以下是几种替代环境变量的安全方式，适用于Kubernetes部署的WildFly环境：

1. 利用WildFly Elytron CredentialStore 表达式引用 #

WildFly新版的CredentialStore可以安全存储敏感凭据，并且支持在配置文件中通过表达式直接引用，步骤如下：

• 创建并配置CredentialStore：通过WildFly CLI执行以下命令，将客户端Secret存储到CredentialStore中：

  # 创建CredentialStore（存储文件放在配置目录，设置存储密码）
  /subsystem=elytron/credential-store=oidc-secrets-store:add(path=oidc-secrets.cs, relative-to=jboss.server.config.dir, credential-reference={clear-text=your-store-password})
  # 添加客户端Secret的别名
  /subsystem=elytron/credential-store=oidc-secrets-store:add-alias(alias=keycloak-client-secret, secret-value=your-actual-client-secret)
  

• 启用表达式解析：确保Elytron子系统启用表达式解析，让WildFly能够识别配置中的表达式：

  /subsystem=elytron:write-attribute(name=expression-resolver, value=default)
  

• 在oidc.json中引用凭据：修改credentials.secret的值为CredentialStore的表达式：

  {
    "client-id": "your-client-id",
    "credentials": {
      "secret": "${credential-store:oidc-secrets-store:keycloak-client-secret}"
    },
    // 其他OIDC配置项
  }
  

2. Kubernetes Secret挂载为文件，通过文件表达式读取 #

将Kubernetes Secret挂载到Pod内部的文件，再让WildFly通过文件路径表达式读取Secret内容，避免环境变量泄露风险：

• 创建Kubernetes Secret：

  kubectl create secret generic keycloak-oidc-secret --from-literal=client-secret=your-actual-secret
  

• 在Deployment中挂载Secret：修改WildFly的Deployment配置，将Secret挂载为只读文件：

  spec:
    template:
      spec:
        volumes:
          - name: oidc-secret-volume
            secret:
              secretName: keycloak-oidc-secret
        containers:
          - name: wildfly
            volumeMounts:
              - name: oidc-secret-volume
                mountPath: /var/run/secrets/keycloak
                readOnly: true
            # 其他容器配置
  

• 在oidc.json中读取文件内容：使用WildFly的文件表达式引用挂载的文件：

  {
    "client-id": "your-client-id",
    "credentials": {
      "secret": "${file:/var/run/secrets/keycloak/client-secret}"
    },
    // 其他OIDC配置项
  }
  

3. 使用Keycloak Kubernetes集成，避免客户端Secret #

如果你的Keycloak部署在Kubernetes集群中，可以利用Kubernetes ServiceAccount进行身份认证，无需存储客户端Secret：

• 配置Keycloak客户端：在Keycloak中创建OIDC客户端，设置客户端类型为ServiceAccount，并启用Kubernetes集成，允许集群内的ServiceAccount Token进行认证。
• 配置WildFly使用ServiceAccount Token：WildFly的OIDC客户端可以配置为自动读取Pod的ServiceAccount Token路径（默认/var/run/secrets/kubernetes.io/serviceaccount/token），并以此向Keycloak请求访问令牌，无需配置客户端Secret。

内容的提问来源于stack exchange，提问作者user6120465