Spring Boot中能否为SecretManagerTemplate配置不同的访问凭证？

结论 #

完全可以为SecretManagerTemplate传入不同的访问凭证，实现多套凭证独立访问不同GCP项目/权限下的密钥资源，不需要依赖框架默认的全局自动装配逻辑即可实现。

实现步骤 #

你使用的1.2.8.RELEASE版本依赖完全支持该操作，核心思路是手动为每套凭证构造独立的SecretManagerServiceClient，再基于客户端生成对应的SecretManagerTemplate实例，注册到Spring上下文即可。

1. 自定义多实例配置代码 #

import com.google.auth.oauth2.GoogleCredentials;
import com.google.cloud.secretmanager.v1.SecretManagerServiceClient;
import com.google.cloud.secretmanager.v1.SecretManagerServiceSettings;
import org.springframework.cloud.gcp.secretmanager.SecretManagerTemplate;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import java.io.FileInputStream;
import java.io.IOException;

@Configuration
public class MultiSecretManagerConfig {

    @Value("${gcp.credential.path-a:/path/to/service-account-a.json}")
    private String credentialPathA;

    @Value("${gcp.project-id-a:project-a-id}")
    private String projectIdA;

    @Value("${gcp.credential.path-b:/path/to/service-account-b.json}")
    private String credentialPathB;

    @Value("${gcp.project-id-b:project-b-id}")
    private String projectIdB;

    // 第一套凭证对应的Template实例
    @Bean
    public SecretManagerTemplate secretManagerTemplateA() throws IOException {
        // 加载对应服务账号的访问凭证
        GoogleCredentials credentialsA = GoogleCredentials.fromStream(
                new FileInputStream(credentialPathA)
        );
        // 构造客户端配置绑定凭证
        SecretManagerServiceSettings settingsA = SecretManagerServiceSettings.newBuilder()
                .setCredentialsProvider(() -> credentialsA)
                .build();
        SecretManagerServiceClient clientA = SecretManagerServiceClient.create(settingsA);
        return new SecretManagerTemplate(clientA, projectIdA);
    }

    // 第二套凭证对应的Template实例
    @Bean
    public SecretManagerTemplate secretManagerTemplateB() throws IOException {
        GoogleCredentials credentialsB = GoogleCredentials.fromStream(
                new FileInputStream(credentialPathB)
        );
        SecretManagerServiceSettings settingsB = SecretManagerServiceSettings.newBuilder()
                .setCredentialsProvider(() -> credentialsB)
                .build();
        SecretManagerServiceClient clientB = SecretManagerServiceClient.create(settingsB);
        return new SecretManagerTemplate(clientB, projectIdB);
    }
}

2. 多实例使用方式 #

需要使用对应凭证的Template时，通过@Qualifier指定Bean名称注入即可：

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.beans.factory.annotation.Qualifier;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;
import org.springframework.cloud.gcp.secretmanager.SecretManagerTemplate;

@RestController
public class SecretTestController {

    @Autowired
    @Qualifier("secretManagerTemplateA")
    private SecretManagerTemplate templateForProjectA;

    @Autowired
    @Qualifier("secretManagerTemplateB")
    private SecretManagerTemplate templateForProjectB;

    @GetMapping("/test-secret")
    public String testSecret() {
        // 用templateForProjectA访问A项目的密钥
        String secretA = templateForProjectA.secretToString("secret-name-a");
        // 用templateForProjectB访问B项目的密钥
        String secretB = templateForProjectB.secretToString("secret-name-b");
        return secretA + " | " + secretB;
    }
}

注意事项 #

• 如果你的凭证不需要通过本地文件加载，可以调整GoogleCredentials的构造逻辑，支持从环境变量、内存字符串等多种来源加载凭证。
• 不需要修改默认的自动装配配置，自定义的实例和框架自动生成的默认实例可以共存。

内容的提问来源于stack exchange，提问作者Stranger