如何在Cloud Foundry（PCF）中自定义配置Hashicorp Vault参数

是可以自定义Vault的address、token、backends参数的，常见有两种实现方案：

方案1：服务绑定阶段传入自定义参数 #

PCF平台的hashicorp-vault服务代理支持在创建服务实例、绑定服务实例时通过-c参数传入自定义配置，直接覆盖默认生成的凭证字段：

1. 绑定服务时携带自定义配置，示例命令如下：

cf bind-service foo-ws foo-vault -c '{"address":"https://你的自定义Vault地址:8200","token":"你的预生成Vault令牌","backends":{"generic":["cf/自定义路径/secret"]}}'

2. 配置完成后执行restage操作生效：

cf restage foo-ws

注意：自定义令牌需要提前在对应Vault实例中配置好自定义backend路径的读写权限，避免应用访问Vault时出现权限报错。

方案2：应用代码层面覆盖默认配置 #

如果不需要修改PCF服务绑定的默认配置，也可以在应用代码中读取环境变量后自行替换参数，以Node.js为例示例代码如下：

// 读取PCF默认注入的Vault配置
const vcapServices = JSON.parse(process.env.VCAP_SERVICES || '{}');
const defaultVaultCreds = vcapServices['hashicorp-vault']?.[0]?.credentials || {};

// 自定义配置优先级高于默认配置，可通过PCF用户环境变量注入
const vaultConfig = {
  address: process.env.CUSTOM_VAULT_ADDR || defaultVaultCreds.address,
  token: process.env.CUSTOM_VAULT_TOKEN || defaultVaultCreds.auth.token,
  backends: process.env.CUSTOM_VAULT_BACKENDS ? JSON.parse(process.env.CUSTOM_VAULT_BACKENDS) : defaultVaultCreds.backends
}

// 后续使用vaultConfig初始化Vault客户端即可

自定义参数可以通过PCF环境变量命令设置，无需修改代码：

cf set-env foo-ws CUSTOM_VAULT_ADDR "https://你的自定义Vault地址"
cf set-env foo-ws CUSTOM_VAULT_TOKEN "你的Vault令牌"
cf restage foo-ws

注意事项 #

• 若使用自定义Vault地址，需要确保PCF应用容器的网络可以访问该地址，避免出现网络连接失败问题
• 自定义令牌不要硬编码在代码中，推荐通过PCF用户环境变量、私有配置中心存储，避免凭证泄露

内容的提问来源于stack exchange，提问作者linker85