Dapr 入門教程之密鑰存儲(chǔ)

作者：k8s技術(shù)圈 2022-09-29 07:27:50

Dapr 在 Kubernetes 模式下通過 Helm 或 dapr init -k 部署的時(shí)候，啟用一個(gè)內(nèi)置的 Kubernetes Secret 存儲(chǔ)，如果你使用另一個(gè) Secret 存儲(chǔ)，你可以使用 disable-builtin-k8s-secret-store 設(shè)置禁用 Dapr Kubernetes Secret 存儲(chǔ)。

應(yīng)用程序通常通過使用專用的 Secret 存儲(chǔ)來存儲(chǔ)敏感信息，如密鑰和 Token，用于與數(shù)據(jù)庫、服務(wù)和外部系統(tǒng)進(jìn)行身份驗(yàn)證的 Secret 等。通常這需要涉及到設(shè)置一個(gè) Secret 存儲(chǔ)，如 ??Azure Key Vault???、??Hashicorp Vault?? 等，并在那里存儲(chǔ)應(yīng)用程序級(jí)別的私密數(shù)據(jù)。為了訪問這些 Secret 存儲(chǔ)，應(yīng)用程序需要導(dǎo)入 Secret 存儲(chǔ)的 SDK，并使用它來訪問私密數(shù)據(jù)，這可能需要相當(dāng)數(shù)量的代碼，這些代碼與應(yīng)用程序的實(shí)際業(yè)務(wù)領(lǐng)域無關(guān)，因此在可能使用不同供應(yīng)商特定的 Secret 存儲(chǔ)的多云場(chǎng)景中，這將成為更大的挑戰(zhàn)。

為了使開發(fā)者更容易使用應(yīng)用程序的私密數(shù)據(jù)，Dapr 有一個(gè)專門的 Secret 構(gòu)建塊 API，允許開發(fā)者從 Secret 存儲(chǔ)中獲取私密數(shù)據(jù)。使用 Dapr 的 Secret 存儲(chǔ)構(gòu)建塊通常涉及以下內(nèi)容。

為特定的 Secret 存儲(chǔ)解決方案設(shè)置一個(gè)組件。
在應(yīng)用程序代碼中使用 Dapr 的 Secret API 來檢索私密數(shù)據(jù)。
(可選)在 Dapr 組件文件中引用 Secret。

默認(rèn)情況下，Dapr 在 Kubernetes 模式下通過 Helm 或 dapr init -k 部署的時(shí)候，啟用一個(gè)內(nèi)置的 Kubernetes Secret 存儲(chǔ)，如果你使用另一個(gè) Secret 存儲(chǔ)，你可以使用 disable-builtin-k8s-secret-store 設(shè)置禁用 Dapr Kubernetes Secret 存儲(chǔ)。

應(yīng)用程序代碼可以調(diào)用 Secret 構(gòu)建塊 API 從 Dapr 支持的 Secret 存儲(chǔ)中檢索私密數(shù)據(jù)，這些 Secret 存儲(chǔ)可以在你的代碼中使用。例如，下圖顯示了一個(gè)應(yīng)用程序從配置的云 Secret 存儲(chǔ)庫中的一個(gè)名為 vault 的 Secret 存儲(chǔ)庫中請(qǐng)求名為 mysecret 的私密數(shù)據(jù)。

Dapr Secret

應(yīng)用程序可以使用 secrets API 來訪問來自 Kubernetes Secret 存儲(chǔ)的私密數(shù)據(jù)。在下面的例子中，應(yīng)用程序從 Kubernetes Secret 存儲(chǔ)中檢索相同的 mysecret。

Dapr Secret On K8s

本地環(huán)境使用 Secrets

同樣我們以 quickstarts 倉庫進(jìn)行說明。

git clone [-b <dapr_version_tag>] https://github.com/dapr/quickstarts.git
cd quickstarts

然后定位到 secretstore 目錄下面的 node 文件夾：

$ cd tutorials/secretstore/node

在 app.js 中是一個(gè)簡(jiǎn)單的 Express 應(yīng)用，它暴露了一些路由和處理程序，我們可以先查看下該文件中的如下內(nèi)容：

const daprPort = process.env.DAPR_HTTP_PORT || 3500;
const secretStoreName = process.env.SECRET_STORE;
const secretName = "mysecret";

其中 secretStoreName 從環(huán)境變量 SECRET_STORE 中讀取，，其為 Kubernetes 部署注入了值 kubernetes，對(duì)于本地開發(fā)，環(huán)境變量必須設(shè)置為 localsecretstore 值。

然后我們看看 getsecret 處理程序代碼：

app.get("/getsecret", (_req, res) => {
  const url = `${secretsUrl}/${secretStoreName}/${secretName}?metadata.namespace=default`;
  console.log("Fetching URL: %s", url);
  fetch(url)
    .then((res) => res.json())
    .then((json) => {
      let secretBuffer = new Buffer(json["mysecret"]);
      let encodedSecret = secretBuffer.toString("base64");
      console.log("Base64 encoded secret is: %s", encodedSecret);
      return res.send(encodedSecret);
    });
});

該代碼從 secret store 中獲取名為 mysecret 的數(shù)據(jù)，并顯示該數(shù)據(jù)的 Base64 編碼數(shù)據(jù)。

我們?cè)?nbsp;secrets.json 文件中添加一個(gè) mysecret 的 Secret 數(shù)據(jù)：

{
  "mysecret": "abcd"
}

同樣我們也需要添加一個(gè) Secret 對(duì)應(yīng)的 Component 組件，比如在本地自拓管模式，創(chuàng)建一個(gè)如下所示的配置文件：

apiVersion: dapr.io/v1alpha1
kind: Component
metadata:
  name: localsecretstore
  namespace: default
spec:
  type: secretstores.local.file
  version: v1
  metadata:
    - name: secretsFile
      value: secrets.json
    - name: nestedSeparator
      value: ":"

上面的組件定義了一個(gè)本地 Secret 存儲(chǔ)庫，其 Secret 文件路徑為 secrets.json 文件。

其中 Secret 存儲(chǔ) JSON 的路徑是與你調(diào)用 dapr run 的位置相關(guān)的。

然后我們需要將上面的 Secret Store 名稱設(shè)置為環(huán)境變量：

export SECRET_STORE="localsecretstore"
set SECRET_STORE=localsecretstore

接下來我們?yōu)?Node 應(yīng)用安裝依賴：

npm install

然后我們使用 Dapr 帶上本地的 secret store 組件運(yùn)行 Node 應(yīng)用：

$ dapr run --app-id nodeapp --components-path ./components --app-port 3000 --dapr-http-port 3500 node app.js
??  Starting Dapr with id nodeapp. HTTP Port: 3500. gRPC Port: 58744
INFO[0000] starting Dapr Runtime -- version 1.8.4 -- commit 18575823c74318c811d6cd6f57ffac76d5debe93  app_id=nodeapp instance=MBP2022.local scope=dapr.runtime type=log ver=1.8.4

INFO[0000] component loaded. name: localsecretstore, type: secretstores.local.file/v1  app_id=nodeapp instance=MBP2022.local scope=dapr.runtime type=log ver=1.8.4
INFO[0000] all outstanding components processed          app_id=nodeapp instance=MBP2022.local scope=dapr.runtime type=log ver=1.8.4

== APP == Node App listening on port 3000!
INFO[0000] application discovered on port 3000           app_id=nodeapp instance=MBP2022.local scope=dapr.runtime type=log ver=1.8.4
WARN[0000] [DEPRECATION NOTICE] Adding a default content type to incoming service invocation requests is deprecated and will be removed in the future. See https://docs.dapr.io/operations/support/support-preview-features/ for more details. You can opt into the new behavior today by setting the configuration option `ServiceInvocation.NoDefaultContentType` to true.  app_id=nodeapp instance=MBP2022.local scope=dapr.runtime type=log ver=1.8.4
INFO[0000] application configuration loaded              app_id=nodeapp instance=MBP2022.local scope=dapr.runtime type=log ver=1.8.4
INFO[0000] actors: state store is not configured - this is okay for clients but services with hosted actors will fail to initialize!  app_id=nodeapp instance=MBP2022.local scope=dapr.runtime type=log ver=1.8.4
INFO[0000] actor runtime started. actor idle timeout: 1h0m0s. actor scan interval: 30s  app_id=nodeapp instance=MBP2022.local scope=dapr.runtime.actor type=log ver=1.8.4
INFO[0000] dapr initialized. Status: Running. Init Elapsed 326.57000000000005ms  app_id=nodeapp instance=MBP2022.local scope=dapr.runtime type=log ver=1.8.4
INFO[0000] placement tables updated, version: 0          app_id=nodeapp instance=MBP2022.local scope=dapr.runtime.actor.internal.placement type=log ver=1.8.4
??  Updating metadata for app command: node app.js
?  You're up and running! Both Dapr and your app logs will appear here.

啟動(dòng)后我們可以使用 dapr list 來查看應(yīng)用列表：

$ dapr list
  APP ID   HTTP PORT  GRPC PORT  APP PORT  COMMAND      AGE  CREATED              PID
  nodeapp  3500       58744      3000      node app.js  11m  2022-09-27 15:13.46  5906

啟動(dòng)完成后我們可以直接訪問應(yīng)用的 getsecret 接口：

$ curl -k http://localhost:3000/getsecret

正常輸出結(jié)果是 YWJjZA==，也就是上面的 abcd 做了 base64 編碼后的值。

然后觀察應(yīng)用的日志會(huì)出現(xiàn)類似于如下所示的內(nèi)容：

== APP == Fetching URL: http://localhost:3500/v1.0/secrets/localsecretstore/mysecret?metadata.namespace=default
== APP == Base64 encoded secret is: YWJjZA==

測(cè)試完成后可以使用 dapr stop 命令來停止應(yīng)用：

dapr stop --app-id nodeapp

Kubernetes 環(huán)境使用 Secrets

接下來我們來了解下在 Kubernetes 模式下 Dapr 是如何使用 Secrets store 的，當(dāng)然首先需要在 Kubernetes 集群中安裝 Dapr 控制平面。

Dapr 可以使用許多不同的 secret stores 來解析 secrets 數(shù)據(jù)，比如 AWS Secret Manager、 Azure Key Vault、 GCP Secret Manager、 Kubernetes 等，我們這里可以直接使用 Kubernetes 的 Secret 對(duì)象進(jìn)行演示。

首先講 secrets 數(shù)據(jù)添加到 ./mysecret 文件，比如你的密碼是 abcd，則 ./mysecret 文件內(nèi)容應(yīng)該就是 abcd。

然后基于 ./mysecret 文件創(chuàng)建一個(gè) Kubernetes Secret 對(duì)象：

$ kubectl create secret generic mysecret --from-file ./mysecret

注意創(chuàng)建的 Secret 對(duì)象的名稱 mysecret，后面會(huì)使用到。

創(chuàng)建完成后我們可以查看下該對(duì)象中的數(shù)據(jù)是否符合預(yù)期：

$ kubectl get secret mysecret -o yaml
apiVersion: v1
data:
  mysecret: YWJjZAo=
kind: Secret
metadata:
  creationTimestamp: "2022-09-27T07:34:31Z"
  name: mysecret
  namespace: default
  resourceVersion: "5133821"
  uid: c9aa573c-5f71-439c-b482-748ac0fe3ae7
type: Opaque

接下來我們就可以部署 Node.js 應(yīng)用到 Kubernetes 集群中，對(duì)應(yīng)的資源清單文件如下所示：

kind: Service
apiVersion: v1
metadata:
  name: nodeapp
  labels:
    app: node
spec:
  selector:
    app: node
  ports:
    - protocol: TCP
      port: 80
      targetPort: 3000
  type: LoadBalancer
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: nodeapp
  labels:
    app: node
spec:
  selector:
    matchLabels:
      app: node
  template:
    metadata:
      labels:
        app: node
      annotations:
        dapr.io/enabled: "true"
        dapr.io/app-id: "nodeapp"
        dapr.io/app-port: "3000"
    spec:
      containers:
        - name: node
          image: ghcr.io/dapr/samples/secretstorenode:latest
          env:
            - name: SECRET_STORE
              value: "kubernetes"
          ports:
            - containerPort: 3000
          imagePullPolicy: Always

這里的核心重點(diǎn)是需要我們配置環(huán)境變量 SECRET_STORE，將其值設(shè)置為 kubernetes，這樣我們的應(yīng)用就知道應(yīng)該通過 Kubernetes 獲取 Secret 數(shù)據(jù)了。直接部署該應(yīng)用即可：

$ kubectl apply -f deploy/node.yaml
$ kubectl get pods
NAME                                    READY   STATUS    RESTARTS       AGE
nodeapp-6cb5b689cf-vtn74                2/2     Running   0              92
$ kubectl get svc
NAME                        TYPE           CLUSTER-IP       EXTERNAL-IP    PORT(S)                               AGE
nodeapp                     LoadBalancer   10.101.216.73    192.168.0.50   80:32719/TCP                          13d
nodeapp-dapr                ClusterIP      None             <none>         80/TCP,50001/TCP,50002/TCP,9090/TCP   13d

部署完成后我們這里可以通過 192.168.0.50 這個(gè) EXTERNAL-IP 訪問到應(yīng)用：

curl -k http://192.168.0.50/getsecret

正常上面的請(qǐng)求輸出結(jié)果為 YWJjZAo=，也可以查看 Node 應(yīng)用日志：

$ kubectl logs --selector=app=node -c node
Node App listening on port 3000!
Fetching URL: http://localhost:3500/v1.0/secrets/kubernetes/mysecret?metadata.namespace=default
Base64 encoded secret is: YWJjZAo=

從上面日志可以看出 Node 應(yīng)用程序正在向 dapr 發(fā)出請(qǐng)求，以便從 secret store 獲取 secret 數(shù)據(jù)，注意其中的 mysecret 是上面創(chuàng)建的 Secret 對(duì)象名稱。

當(dāng)然如果你使用的是其他 secret store，比如 HashiCorp Vault 則需要?jiǎng)?chuàng)建一個(gè)對(duì)應(yīng)的 Component 組件了，類型為secretstores.hashicorp.vault，如下所示的資源清單：

apiVersion: dapr.io/v1alpha1
kind: Component
metadata:
  name: vault
spec:
  type: secretstores.hashicorp.vault
  version: v1
  metadata:
  - name: vaultAddr
    value: [vault_address] 
  - name: caCert 
    value: "[ca_cert]"
  - name: caPath 
    value: "[path_to_ca_cert_file]"
  - name: caPem 
    value : "[encoded_ca_cert_pem]"
  - name: skipVerify 
    value : "[skip_tls_verification]"
  - name: tlsServerName 
    value : "[tls_config_server_name]"
  - name: vaultTokenMountPath 
    value : "[path_to_file_containing_token]"
  - name: vaultToken 
    value : "[path_to_file_containing_token]"
  - name: vaultKVPrefix 
    value : "[vault_prefix]"
  - name: vaultKVUsePrefix 
    value: "[true/false]"
  - name: enginePath 
    value: "secret"
  - name: vaultValueType 
    value: "map"