Spring Cloud Data Flow 2.10.0与Skipper配置Spring Cloud Vault问题咨询

支持情况确认 #

你的SCDF 2.10.0和Skipper 2.9.0版本完全支持Spring Cloud Vault作为密钥管理工具，这两个版本基于Spring Boot 2.7.x，原生兼容Spring Cloud Vault Starter的密钥注入能力。

当前配置的问题分析 #

你提供的配置存在几个关键错误，导致Vault集成未生效：

• 配置层级错误：vault节点没有嵌套在spring.cloud下，Spring Boot无法识别该配置前缀，自然不会触发Vault客户端初始化。
• 配置加载时机问题：Spring Cloud Vault的配置需要在应用上下文初始化早期加载，优先放在bootstrap.yaml中；你把核心Vault配置放在application.yaml，加载时机过晚，会导致密钥注入失败。
• KV后端版本缺失：如果你的Vault使用的是KV v2后端，默认配置无法适配，需要明确指定KV版本。

修正后的配置示例 #

推荐将所有Vault相关配置整合到bootstrap.yaml，示例如下：

spring:
  application:
    name: scdf-server
  cloud:
    vault:
      enabled: true
      authentication: KUBERNETES
      uri: http://<vault_host>
      kv:
        backend: secret
        version: 2  # 若使用KV v1后端，可删除此行
      kubernetes:
        role: internal-app
        service-account-token-file: /var/run/secrets/kubernetes.io/serviceaccount/token

Skipper Server 适配配置 #

Skipper Server的配置逻辑和SCDF一致，只需调整应用名并同步Vault中的密钥路径：

spring:
  application:
    name: skipper-server
  cloud:
    vault:
      enabled: true
      authentication: KUBERNETES
      uri: http://<vault_host>
      kv:
        backend: secret
        version: 2
      kubernetes:
        role: internal-app
        service-account-token-file: /var/run/secrets/kubernetes.io/serviceaccount/token

额外验证项 #

• Vault K8s Auth配置：确认Vault已启用Kubernetes认证，且internal-app角色已绑定到SCDF/Skipper Pod使用的K8s ServiceAccount，该ServiceAccount需具备访问Vault的权限。
• 密钥路径匹配：Vault中的密钥需存储在${spring.cloud.vault.kv.backend}/${spring.application.name}路径下（例如secret/scdf-server），若需自定义路径，可添加spring.cloud.vault.kv.default-context配置指定。

内容的提问来源于stack exchange，提问作者Jugesh Prasad