Java Spring Boot 中在 `application.properties` 里使用 AWS 机密环境变量

简介

在现代软件开发中，安全地管理敏感信息（如数据库密码、API 密钥等）至关重要。AWS Secrets Manager 提供了一种安全且便捷的方式来存储这些机密信息。而在 Java Spring Boot 应用中，将 AWS 机密作为环境变量集成到 application.properties 文件里，能有效地保护敏感数据，同时保持配置的灵活性。本文将深入探讨其基础概念、使用方法、常见实践以及最佳实践。

基础概念
- AWS Secrets Manager
- Spring Boot 与环境变量
使用方法
- 设置 AWS 凭证
- 配置 Spring Boot 应用
- 在 application.properties 中引用
常见实践
- 动态加载机密
- 多环境配置
最佳实践
- 安全策略
- 监控与审计
小结
参考资料

基础概念

AWS Secrets Manager

AWS Secrets Manager 是一项服务，允许用户在 AWS 环境中安全地存储、旋转、检索和管理机密信息。它提供了加密存储、访问控制以及自动密钥旋转等功能，确保敏感数据得到妥善保护。

Spring Boot 与环境变量

Spring Boot 提供了强大的环境抽象，允许从多种来源加载配置属性，包括环境变量。环境变量可以在操作系统级别设置，也可以在容器化环境（如 Docker）中配置。Spring Boot 会自动将环境变量转换为属性，方便在应用中使用。

使用方法

设置 AWS 凭证

首先，需要配置 AWS 凭证，以便 Spring Boot 应用能够访问 AWS Secrets Manager。可以通过以下几种方式设置： 1. 环境变量：设置 AWS_ACCESS_KEY_ID 和 AWS_SECRET_ACCESS_KEY 环境变量。例如，在 Linux 系统中： bash export AWS_ACCESS_KEY_ID=your-access-key export AWS_SECRET_ACCESS_KEY=your-secret-key 2. AWS 配置文件：在本地 ~/.aws/config 和 ~/.aws/credentials 文件中配置凭证。

配置 Spring Boot 应用

在 pom.xml 文件中添加 AWS SDK 依赖：

<dependency>
    <groupId>software.amazon.awssdk</groupId>
    <artifactId>secretsmanager</artifactId>
    <version>2.17.106</version>
</dependency>

创建一个配置类来初始化 AWS Secrets Manager 客户端：

import software.amazon.awssdk.regions.Region;
import software.amazon.awssdk.services.secretsmanager.SecretsManagerClient;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class AwsSecretsConfig {

    @Bean
    public SecretsManagerClient secretsManagerClient() {
        Region region = Region.of("your-region");
        return SecretsManagerClient.builder()
               .region(region)
               .build();
    }
}

在 `application.properties` 中引用

创建一个自定义的属性源，用于从 AWS Secrets Manager 加载机密：

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.PropertySource;
import org.springframework.core.env.PropertySource;
import org.springframework.stereotype.Component;

import software.amazon.awssdk.services.secretsmanager.SecretsManagerClient;
import software.amazon.awssdk.services.secretsmanager.model.GetSecretValueRequest;
import software.amazon.awssdk.services.secretsmanager.model.GetSecretValueResponse;

@Component
@PropertySource(value = "classpath:application.properties")
public class AwsSecretsPropertySource extends PropertySource<String> {

    private static final String AWS_SECRET_PREFIX = "aws.secret.";
    private final SecretsManagerClient secretsManagerClient;

    @Autowired
    public AwsSecretsPropertySource(SecretsManagerClient secretsManagerClient) {
        super("awsSecretsPropertySource");
        this.secretsManagerClient = secretsManagerClient;
    }

    @Override
    public Object getProperty(String name) {
        if (name.startsWith(AWS_SECRET_PREFIX)) {
            String secretName = name.substring(AWS_SECRET_PREFIX.length());
            GetSecretValueRequest request = GetSecretValueRequest.builder()
                   .secretId(secretName)
                   .build();
            GetSecretValueResponse response = secretsManagerClient.getSecretValue(request);
            return response.secretString();
        }
        return null;
    }
}

在 application.properties 中使用如下格式引用机密：

aws.secret.database.password=your-database-password-secret-name

常见实践

动态加载机密

为了确保应用始终使用最新的机密，可以定期重新加载机密。可以通过定时任务实现：

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.scheduling.annotation.Scheduled;
import org.springframework.stereotype.Component;

@Component
public class SecretReloader {

    @Autowired
    private AwsSecretsPropertySource awsSecretsPropertySource;

    @Scheduled(fixedRate = 60000) // 每分钟重新加载
    public void reloadSecrets() {
        awsSecretsPropertySource.refresh();
    }
}

多环境配置

针对不同的环境（如开发、测试、生产），可以在 application-{profile}.properties 文件中配置不同的机密引用。例如，在 application-dev.properties 中：

aws.secret.database.password=dev-database-password-secret-name

在 application-prod.properties 中：

aws.secret.database.password=prod-database-password-secret-name

最佳实践

安全策略

最小权限原则：为 AWS IAM 用户或角色分配仅允许访问必要机密的权限。
加密传输：确保在 AWS Secrets Manager 和 Spring Boot 应用之间的数据传输进行加密，例如使用 SSL/TLS。

监控与审计

日志记录：记录所有对机密的访问操作，以便进行审计和排查问题。
监控变更：使用 AWS CloudWatch 等工具监控机密的变更情况，及时发现异常。

小结

通过在 Java Spring Boot 应用的 application.properties 中使用 AWS 机密环境变量，我们能够更安全、灵活地管理敏感信息。本文介绍了基础概念、详细的使用方法、常见实践以及最佳实践，希望能帮助读者在实际项目中有效地集成 AWS Secrets Manager 和 Spring Boot，提升应用的安全性和可维护性。

Java Spring Boot 中在 application.properties 里使用 AWS 机密环境变量

简介

目录