Spring Cloud构建微服务架构:分布式配置中心(加密解密)

最近正好想发一篇关于配置中心加密的细节内容,结果发现基础的加密解密居然漏了,所以在这个入门系列中补充一下。后面再更新一下,使用配置中心的一些经验和教训。

640?wx_fmt=png&wxfrom=5&wx_lazy=1

在微服务架构中,我们通常都会采用DevOps的组织方式来降低因团队间沟通造成的巨大成本,以加速微服务应用的交付能力。这就使得原本由运维团队控制的线上信息将交由微服务所属组织的成员自行维护,其中将会包括大量的敏感信息,比如:数据库的账户与密码等。很显然,如果我们直接将敏感信息以明文的方式存储于微服务应用的配置文件中是非常危险的。针对这个问题,Spring Cloud Config提供了对属性进行加密解密的功能,以保护配置文件中的信息安全。比如下面的例子:

  1. spring.datasource.username=didi

  2. spring.datasource.password={cipher}dba6505baa81d78bd08799d8d4429de499bd4c2053c05f029e7cfbf143695f5b

在Spring Cloud Config中通过在属性值前使用 {cipher}前缀来标注该内容是一个加密值,当微服务客户端来加载配置时,配置中心会自动的为带有 {cipher}前缀的值进行解密。通过该机制的实现,运维团队就可以放心的将线上信息的加密资源给到微服务团队,而不用担心这些敏感信息遭到泄露了。下面我们来具体介绍如何在配置中心使用该项功能。

使用前提

在使用Spring Cloud Config的加密解密功能时,有一个必要的前提需要我们注意。为了启用该功能,我们需要在配置中心的运行环境中安装不限长度的JCE版本(Unlimited Strength Java Cryptography Extension)。虽然,JCE功能在JRE中自带,但是默认使用的是有长度限制的版本。我们可以从Oracle的官方网站中下载到它,它是一个压缩包,解压后可以看到下面三个文件:

  1. README.txt

  2. local_policy.jar

  3. US_export_policy.jar

我们需要将 local_policy.jarUS_export_policy.jar两个文件复制到 $JAVA_HOME/jre/lib/security目录下,覆盖原来的默认内容。到这里,加密解密的准备工作就完成了。

相关端点

在完成了JCE的安装后,可以尝试启动配置中心。在控制台中,将会输出了一些配置中心特有的端点,主要包括:

  • /encrypt/status:查看加密功能状态的端点

  • /key:查看密钥的端点

  • /encrypt:对请求的body内容进行加密的端点

  • /decrypt:对请求的body内容进行解密的端点

可以尝试通过GET请求访问 /encrypt/status端点,我们将得到如下内容:

  1. {

  2.  "description": "No key was installed for encryption service",

  3.  "status": "NO_KEY"

  4. }

该返回说明当前配置中心的加密功能还不能使用,因为没有为加密服务配置对应的密钥。

配置密钥

我们可以通过 encrypt.key属性在配置文件中直接指定密钥信息(对称性密钥),比如:

  1. encrypt.key=didispace

加入上述配置信息后,重启配置中心,再访问 /encrypt/status端点,我们将得到如下内容:

  1. {

  2.  "status": "OK"

  3. }

此时,我们配置中心的加密解密功能就已经可以使用了,不妨尝试访问一下 /encrypt/decrypt端点来进行加密和解密的功能。注意,这两个端点都是POST请求,加密和解密信息需要通过请求体来发送。比如,以 curl命令为例,我们可以通过下面的方式调用加密与解密端点:

  1. $ curl localhost:7001/encrypt -d didispace

  2. 3c70a809bfa24ab88bcb5e1df51cb9e4dd4b8fec88301eb7a18177f1769c849ae9c9f29400c920480be2c99406ae28c7

  3. $ curl localhost:7001/decrypt -d  3c70a809bfa24ab88bcb5e1df51cb9e4dd4b8fec88301eb7a18177f1769c849ae9c9f29400c920480be2c99406ae28c7

  4. didispace

这里,我们通过配置 encrypt.key参数来指定密钥的实现方式采用了对称性加密。这种方式实现比较简单,只需要配置一个参数即可。另外,我们也可以使用环境变量 ENCRYPT_KEY来进行配置,让密钥信息外部化存储。

非对称加密

Spring Cloud Config的配置中心不仅可以使用对称性加密,也可以使用非对称性加密(比如:RSA密钥对)。虽然非对称性加密的密钥生成与配置相对复杂一些,但是它具有更高的安全性。下面,我们来具体介绍一下如何使用非对称加密。

首先,我们需要通过 keytool工具来生成密钥对。 keytool是JDK中的一个密钥和证书管理工具。它使用户能够管理自己的公钥/私钥对及相关证书,用于(通过数字签名)自我认证(用户向别的用户/服务认证自己)或数据完整性以及认证服务。在JDK 1.4以后的版本中都包含了这一工具,它的位置在: %JAVA_HOME%\bin\keytool.exe

生成密钥的具体命令如下:

  1. $ keytool -genkeypair -alias config-server -keyalg RSA -keystore config-server.keystore

  2. 输入密钥库口令:

  3. 再次输入新口令:

  4. 您的名字与姓氏是什么?

  5.  [Unknown]:  zhaiyongchao

  6. 您的组织单位名称是什么?

  7.  [Unknown]:  company

  8. 您的组织名称是什么?

  9.  [Unknown]:  organization

  10. 您所在的城市或区域名称是什么?

  11.  [Unknown]:  city

  12. 您所在的省/市/自治区名称是什么?

  13.  [Unknown]:  province

  14. 该单位的双字母国家/地区代码是什么?

  15.  [Unknown]:  china

  16. CN=zhaiyongchao, OU=company, O=organization, L=city, ST=province, C=china是否正确?

  17.  [否]:  y

  18. 输入 <config-server> 的密钥口令

  19.        (如果和密钥库口令相同, 按回车):

  20. 再次输入新口令:

另外,如果我们不想逐步的输入那些提示信息,可以使用 -dname来直接指定,而密钥库口令与密钥口令可使用 -storepass-keypass来直接指定。所以,我们可以通过下面的命令直接创建出与上述命令一样的密钥库:

  1. $ keytool -genkeypair -alias config-server -keyalg RSA \

  2.  -dname "CN=zhaiyongchao, OU=company, O=organization, L=city, ST=province, C=china" \

  3.  -keypass 222222 \

  4.  -keystore config-server.keystore \

  5.  -storepass 111111 \

默认情况下,上述命令创建的密钥只有90天有效期。如果我们想要调整它的有效期,可以通过增加 -validity参数来实现,比如我们可以通过下面的命令,让密钥的有效期延长到一年:

  1. $ keytool -genkeypair -alias config-server -keyalg RSA \

  2.  -dname "CN=zhaiyongchao, OU=company, O=organization, L=city, ST=province, C=china" \

  3.  -keypass 222222 \

  4.  -keystore config-server.keystore \

  5.  -storepass 111111 \

  6.  -validity 365 \

上述的三种命令生成方式,最终都会在命令的当前执行目录下生成一个 config-server.keystore文件。下面,我们需要将它保存在配置中心的文件系统中的某个位置,比如放在当前的用户目录下,然后在配置中心中加入相关的配置信息:

  1. encrypt.key-store.location=file://${user.home}/config-server.keystore

  2. encrypt.key-store.alias=config-server

  3. encrypt.key-store.password=111111

  4. encrypt.key-store.secret=222222

如果我们将 config-server.keystore放在配置中心的 src/main/resource目录下,也可以直接这样配置: encrypt.key-store.location=config-server.keystore。另外,非对称加密的配置信息也可以通过环境变量的方式进行配置,它们对应的具体变量名如下:

  1. ENCRYPT_KEY_STORE_LOCATION

  2. ENCRYPT_KEY_STORE_ALIAS

  3. ENCRYPT_KEY_STORE_PASSWORD

  4. ENCRYPT_KEY_STORE_SECRET

通过环境变量来配置密钥库相关信息可以获得更好的安全性,所以我们可以将敏感的口令信息存储在配置中心的环境变量中是一种不错的选择。

这些专题教程也许您会有兴趣

  • Spring Boot基础教程

  • Spring Cloud基础教程


欢迎访问我的博客:http://blog.didispace.com,获取以上内容。

热文推荐

全球最大同性交友网站 GitHub 10 岁了!

JDK 1.5 - 1.8 各版本的新特性总结

Spring Boot快速开发利器:Spring Boot CLI

IntelliJ IDEA 2018.1正式发布!还能这么玩?

消息中间件选型分析

自建API网关「架构设计篇」

其他推荐

Spring Boot使用@Async实现异步调用:线程池的优雅关闭

Spring Boot使用@Async实现异步调用:自定义线程池

Spring Boot 2.0正式发布,升还是不升呢?

Spring Boot 2.0 新特性概览

Spring Boot/Cloud干货汇总

长按指纹

一键关注

640?wx_fmt=jpeg640?wx_fmt=png

深入交流、更多福利

扫码加入我的知识星球


640?wx_fmt=png


点击 “阅读原文” 看看本号其他精彩内容

阅读更多
版权声明:本文为博主原创文章,未经博主允许不得转载。 https://blog.csdn.net/j3T9Z7H/article/details/79956639
上一篇全球最大同性交友网站 GitHub 10 岁了!
下一篇他凭什么年薪35W,如何抓住2018年大数据AI浪潮?
想对作者说点什么? 我来说一句

Spring Cloud构建微服务架构

2018年02月05日 11.76MB 下载

没有更多推荐了,返回首页

关闭
关闭