知識庫 / Spring RSS 訂閱

5. CredHub 集成

我們將實現一個 Spring Boot 應用程序，該應用程序返回訂單詳情，並演示一些示例以解釋憑證管理的全生命週期。

5.1. CredHubOperations 接口

CredHubOperations 接口位於 org.springframework.credhub.core 包中。它是 Spring CredHub 的核心類，支持豐富的特性，用於與 CredHub 交互。 它提供對接口的訪問，這些接口對整個 CredHub API 進行建模，並對領域對象和 CredHub 數據之間進行映射：

public class CredentialService {
    private final CredHubCredentialOperations credentialOperations;
    private final CredHubPermissionV2Operations permissionOperations;

    public CredentialService(CredHubOperations credHubOperations) {
        this.credentialOperations = credHubOperations.credentials();
        this.permissionOperations = credHubOperations.permissionsV2();
    }
}

5.2. 憑證創建

首先，我們創建一個新的憑證，類型為 密碼，該憑證使用 PasswordCredentialRequest 構建而成：

SimpleCredentialName credentialName = new SimpleCredentialName(credential.getName());
PasswordCredential passwordCredential = new PasswordCredential((String) value.get("password"));
PasswordCredentialRequest request = PasswordCredentialRequest.builder()
  .name(credentialName)
  .value(passwordCredential)
  .build();
credentialOperations.write(request);

同樣，其他的 CredentialRequest 實現也可以用於構建不同類型的憑證，例如，ValueCredentialRequest 用於 value 憑證，RsaCredentialRequest 用於 rsa 憑證，等等。

ValueCredential valueCredential = new ValueCredential((String) value.get("value"));
request = ValueCredentialRequest.builder()
  .name(credentialName)
  .value(valueCredential)
  .build();

RsaCredential rsaCredential = new RsaCredential((String) value.get("public_key"), (String) value.get("private_key"));
request = RsaCredentialRequest.builder()
  .name(credentialName)
  .value(rsaCredential)
  .build();

5.3. 憑據生成

Spring CredHub 還提供了一種動態生成憑據的選項，以避免應用程序端管理憑據的精力消耗。 這樣做，反過來又增強了數據安全性。 讓我們看看如何實現此功能：

SimpleCredentialName credentialName = new SimpleCredentialName("api_key");
PasswordParameters parameters = PasswordParameters.builder()
  .length(24)
  .excludeUpper(false)
  .excludeLower(false)
  .includeSpecial(true)
  .excludeNumber(false)
  .build();

CredentialDetails<PasswordCredential> generatedCred = credentialOperations.generate(PasswordParametersRequest.builder()
  .name(credentialName)
  .parameters(parameters)
  .build());

String password = generatedCred.getValue().getPassword();

5.4. 憑據輪換與撤銷

憑據管理中的另一個重要環節是輪換憑據。以下代碼演示了我們如何使用 密碼 憑據類型來實現這一點：

CredentialDetails<PasswordCredential> newPassword = credentialOperations.regenerate(credentialName, PasswordCredential.class);

CredHub 還允許 證書 憑證類型同時擁有多個有效版本，從而實現無需停機地進行輪換。 最終 且 最為 關鍵 的 環節 是 憑證的撤銷，該撤銷操作可以如下實施：</span， 確切地是 100% 準確的，沒有誇大其詞，沒有數字錯誤或漂移。

credentialOperations.deleteByName(credentialName);

5.5. 憑證檢索

現在我們對完整的憑證管理生命週期有了充分的瞭解。我們將看到如何檢索最新版本的 密碼 憑證，用於訂單 API 身份驗證：

public ResponseEntity<Collection<Order>> getAllOrders() {
    try {
        String apiKey = credentialService.getPassword("api_key");
        return new ResponseEntity<>(getOrderList(apiKey), HttpStatus.OK);
    } catch (Exception e) {
        return new ResponseEntity<>(HttpStatus.FORBIDDEN);
    }
}

public String getPassword(String name) {
    SimpleCredentialName credentialName = new SimpleCredentialName(name);
    return credentialOperations.getByName(credentialName, PasswordCredential.class)
      .getValue()
      .getPassword();
}

5.6. 控制憑據訪問權限

權限可以附加到憑據上，以限制訪問。例如，一個權限授予單個用户訪問憑據的權限，並使該用户能夠對憑據執行所有操作。 另一個權限可以附加，允許所有用户僅對憑據執行 讀取 操作。

下面是一個示例，演示瞭如何將權限附加到憑據上，允許用户 u101 執行 讀取 和 寫入 操作：

Permission permission = Permission.builder()
  .app(UUID.randomUUID().toString())
  .operations(Operation.READ, Operation.WRITE)
  .user("u101")
  .build();
permissionOperations.addPermissions(name, permission);