【数据安全】教程：使用 Azure Key Vault 证书保护 Spring Boot 应用程序
本教程向你展示如何使用 Azure Key Vault 和 Azure 资源的托管标识通过 TLS/SSL 证书保护你的 Spring Boot（包括 Azure Spring 应用程序）应用程序。
生产级 Spring Boot 应用程序，无论是在云端还是在本地，都需要使用标准 TLS 协议对网络流量进行端到端加密。您遇到的大多数 TLS/SSL 证书都可以从公共根证书颁发机构 (CA) 中发现。然而，有时候，这种发现是不可能的。当证书不可发现时，应用程序必须有某种方式来加载此类证书，将它们呈现给入站网络连接，并从出站网络连接中接受它们。
Spring Boot 应用程序通常通过安装证书来启用 TLS。证书安装到运行 Spring Boot 应用程序的 JVM 的本地密钥库中。使用 Azure 上的 Spring，不会在本地安装证书。相反，Microsoft Azure 的 Spring 集成提供了一种安全且无摩擦的方式来借助 Azure Key Vault 和 Azure 资源的托管身份来启用 TLS。
在本教程中，您将学习如何：
- 使用系统分配的托管标识创建 GNU/Linux VM
- 创建 Azure Key Vault
- 创建自签名 TLS/SSL 证书
- 将自签名 TLS/SSL 证书存储在 Azure Key Vault 中
- 运行 Spring Boot 应用程序，其中入站连接的 TLS/SSL 证书来自 Azure Key Vault
- 运行 Spring Boot 应用程序，其中用于出站连接的 TLS/SSL 证书来自 Azure Key Vault
重要的
目前，Spring Cloud Azure Certificate starter 4.x 版本不支持 TLS/mTLS，它们仅自动配置 Key Vault 证书客户端。因此，如果要使用 TLS/mTLS，则无法迁移到版本 4.x。
先决条件
- 如果您没有 Azure 订阅，请在开始之前创建一个免费帐户。
- curl命令。大多数类 UNIX 操作系统都预装了此命令。特定于操作系统的客户端可在官方 curl 网站上获得。
- jq 命令。大多数类 UNIX 操作系统都预装了此命令。官方 jq 网站上提供了特定于操作系统的客户端。
- Azure CLI，版本 2.38 或更高版本
- 受支持的 Java 开发工具包 (JDK)，版本 8。有关详细信息，请参阅 Azure 和 Azure Stack 上的 Java 支持。
- Apache Maven，版本 3.0。
重要的
完成本文中的步骤需要 Spring Boot 2.5 或更高版本。
使用系统分配的托管标识创建 GNU/Linux VM
使用以下步骤创建具有系统分配的托管标识的 Azure VM，并准备运行 Spring Boot 应用程序。有关 Azure 资源的托管标识的概述，请参阅什么是 Azure 资源的托管标识？。
- 打开 Bash 外壳。
- 注销并删除一些身份验证文件以删除任何挥之不去的凭据。
az logout rm ~/.azure/accessTokens.json rm ~/.azure/azureProfile.json
- 登录到 Azure CLI。
az login
- 设置订阅 ID。请务必将占位符替换为适当的值。
az account set -s <your subscription ID>
- 创建 Azure 资源组。记下资源组名称以备后用。
az group create \
--name <your resource group name> \
--location <your resource group region>
- 设置默认资源组。
az configure --defaults group=<your resource group name>
- 使用 UbuntuServer 提供的映像 UbuntuLTS 创建启用了系统分配的托管标识的 VM 实例。
az vm create \
--name <your VM name> \
--debug \
--generate-ssh-keys \
--assign-identity \
--role contributor \
--scope /subscriptions/<your subscription> \
--image UbuntuLTS \
--admin-username azureuser
在 JSON 输出中，记下 publicIpAddress 和 systemAssignedIdentity 属性的值。您将在本教程的后面部分使用这些值。
笔记
UbuntuLTS 这个名字是统一资源名称 (URN) 的别名，它是为像 UbuntuLTS 这样的流行图像创建的缩写版本。运行以下命令以表格格式显示缓存的流行图像列表：
az vm image list --output table
- 安装微软 OpenJDK。有关 OpenJDK 的完整信息，请参阅 Microsoft Build of OpenJDK。
ssh azureuser@<your VM public IP address>
- 添加存储库。替换以下命令中的版本占位符并执行：
wget https://packages.microsoft.com/config/ubuntu/{version}/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
sudo dpkg -i packages-microsoft-prod.deb
通过运行以下命令安装 Microsoft Build of OpenJDK：
sudo apt install apt-transport-https sudo apt update sudo apt install msopenjdk-11
创建和配置 Azure Key Vault
使用以下步骤创建 Azure Key Vault，并授予 VM 的系统分配托管标识访问 Key Vault 以获取证书的权限。
在资源组中创建 Azure Key Vault。
az keyvault create \
--name <your Key Vault name> \
--location <your resource group region>
export KEY_VAULT_URI=$(az keyvault show --name <your Key Vault name>
| jq -r '.properties.vaultUri')
记下 KEY_VAULT_URI 值。你稍后会用到它。
- 授予 VM 使用证书密钥保管库的权限。
az keyvault set-policy \ --name <your Key Vault name> \ --object-id <your system-assigned identity> \ --secret-permissions get list \ --certificate-permissions get list import
创建并存储自签名 TLS/SSL 证书
本教程中的步骤适用于直接存储在 Azure Key Vault 中的任何 TLS/SSL 证书（包括自签名）。自签名证书不适合在生产中使用，但对开发和测试应用程序很有用。本教程使用自签名证书。要创建证书，请使用以下命令。
az keyvault certificate create \
--vault-name <your Key Vault name> \
--name mycert \
--policy "$(az keyvault certificate get-default-policy)"
使用安全入站连接运行 Spring Boot 应用程序
在本部分中，你将创建一个 Spring Boot 入门应用程序，其中用于入站连接的 TLS/SSL 证书来自 Azure Key Vault。
要创建应用程序，请使用以下步骤：
- 浏览到 https://start.spring.io/。
- 选择此列表后面的图片中显示的选项。
Project: Maven Project Language: Java Spring Boot: 2.7.4 Group: com.contoso (You can put any valid Java package name here.) Artifact: ssltest (You can put any valid Java class name here.) Packaging: Jar Java: 11
- 选择添加依赖项....
- 在文本字段中，键入 Spring Web 并按 Ctrl+Enter。
- 在文本字段中键入 Azure Support，然后按 Enter。您的屏幕应如下所示。
- 带有基本选项的 Spring Initializr 的屏幕截图。
- 在页面底部，选择“生成”。
- 出现提示时，将项目下载到本地计算机上的某个路径。本教程使用当前用户主目录中的 ssltest 目录。上面的值将为您提供该目录中的 ssltest.zip 文件。
启用 Spring Boot 应用程序以加载 TLS/SSL 证书
要使应用程序能够加载证书，请使用以下步骤：
- 解压缩 ssltest.zip 文件。
- 删除测试目录及其子目录。本教程忽略测试，因此您可以放心删除该目录。
- 将 src/main/resources 中的 application.properties 重命名为 application.yml。
- 文件布局如下所示。
├── HELP.md
├── mvnw
├── mvnw.cmd
├── pom.xml
└── src
└── main
├── java
│ └── com
│ └── contoso
│ └── ssltest
│ └── SsltestApplication.java
└── resources
├── application.yml
├── static
└── templates
- 修改 POM 以添加对 azure-spring-boot-starter-keyvault-certificates 的依赖。将以下代码添加到 pom.xml 文件的 <dependencies> 部分。
<dependency> <groupId>com.azure.spring</groupId> <artifactId>azure-spring-boot-starter-keyvault-certificates</artifactId> </dependency>
- 编辑 src/main/resources/application.yml 文件，使其具有以下内容。
server:
ssl:
key-alias: <the name of the certificate in Azure Key Vault to use>
key-store-type: AzureKeyVault
trust-store-type: AzureKeyVault
port: 8443
azure:
keyvault:
uri: <the URI of the Azure Key Vault to use>- 这些值使 Spring Boot 应用程序能够执行 TLS/SSL 证书的加载操作，如本教程开头所述。下表描述了属性值。
| Property Name | Explanation |
|---|---|
| server.port | The local TCP port on which to listen for HTTPS connections. |
| server.ssl.key-alias | The value of the --name argument you passed to az keyvault certificate create. |
| server.ssl.key-store-type | Must be AzureKeyVault. |
| server.ssl.trust-store-type | Must be AzureKeyVault. |
| azure.keyvault.uri | The vaultUri property in the return JSON from az keyvault create. You saved this value in an environment variable. |
唯一特定于 Key Vault 的属性是 azure.keyvault.uri。该应用在其系统分配的托管标识已被授予访问 Key Vault 的 VM 上运行。因此，该应用程序也已被授予访问权限。
这些更改使 Spring Boot 应用程序能够加载 TLS/SSL 证书。在下一节中，您将允许应用程序执行 TLS/SSL 证书的接受操作，如本教程开头所述。
创建一个 Spring Boot REST 控制器
要创建 REST 控制器，请使用以下步骤：
- 编辑 src/main/java/com/contoso/ssltest/SsltestApplication.java 文件，使其具有以下内容。
package com.contoso.ssltest;
import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;
@SpringBootApplication
@RestController
public class SsltestApplication {
public static void main(String[] args) {
SpringApplication.run(SsltestApplication.class, args);
}
@GetMapping(value = "/ssl-test")
public String inbound(){
return "Inbound TLS is working!!";
}
@GetMapping(value = "/exit")
public void exit() {
System.exit(0);
}
}- 从未经身份验证的 REST GET 调用中调用 System.exit(0) 仅用于演示目的。不要在实际应用程序中使用 System.exit(0)。
此代码说明了本教程开头提到的当前操作。以下列表突出显示了有关此代码的一些详细信息：
- 现在在 Spring Initializr 生成的 SsltestApplication 类上有一个 @RestController 注释。
- 有一个用@GetMapping 注释的方法，其中包含您将进行的HTTP 调用的值。
- 当浏览器向 /ssl-test 路径发出 HTTPS 请求时，入站方法只返回一条问候语。 inbound 方法说明了服务器如何向浏览器提供 TLS/SSL 证书。
- exit 方法将导致 JVM 在被调用时退出。此方法有助于使示例易于在本教程的上下文中运行。
- 打开一个新的 Bash shell 并导航到 ssltest 目录。运行以下命令。
mvn clean package
- Maven 编译代码并将其打包成可执行的 JAR 文件
验证在 <您的资源组名称> 中创建的网络安全组是否允许来自您的 IP 地址的端口 22 和 8443 上的入站流量。要了解如何配置网络安全组规则以允许入站流量，请参阅创建、更改或删除网络安全组的使用安全规则部分。
- 将可执行 JAR 文件放在 VM 上。
cd target sftp azureuser@<your VM public IP address> put *.jar
在服务器上运行应用程序
现在您已经构建了 Spring Boot 应用程序并将其上传到 VM，请使用以下步骤在 VM 上运行它并使用 curl 调用 REST 端点。
- 使用 SSH 连接到 VM，然后运行可执行 jar。
set -o noglob ssh azureuser@<your VM public IP address> "java -jar *.jar"
- 打开一个新的 Bash shell 并执行以下命令以验证服务器是否提供 TLS/SSL 证书。
curl --insecure https://<your VM public IP address>:8443/ssl-test
- 调用退出路径以终止服务器并关闭网络套接字。
curl --insecure https://<your VM public IP address>:8443/exit
现在您已经看到使用自签名 TLS/SSL 证书加载和呈现操作，您将对应用程序进行一些微不足道的更改以查看接受操作。
使用安全出站连接运行 Spring Boot 应用程序
在本节中，你将修改上一节中的代码，以便出站连接的 TLS/SSL 证书来自 Azure Key Vault。因此，从 Azure Key Vault 中可以满足加载、呈现和接受操作。
修改 SsltestApplication 以说明出站 TLS 连接
使用以下步骤修改应用程序：
- 通过将以下代码添加到 pom.xml 文件的 <dependencies> 部分来添加对 Apache HTTP 客户端的依赖。
<dependency> <groupId>org.apache.httpcomponents</groupId> <artifactId>httpclient</artifactId> <version>4.5.13</version> </dependency>
- 添加一个名为 ssl-test-outbound 的新 rest 端点。此端点为自身打开一个 TLS 套接字，并验证 TLS 连接是否接受 TLS/SSL 证书。
用以下代码替换 SsltestApplication.java 的内容。
package com.contoso.ssltest;
import java.security.KeyStore;
import javax.net.ssl.HostnameVerifier;
import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLSession;
import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import com.azure.security.keyvault.jca.KeyVaultLoadStoreParameter;
import org.springframework.http.HttpStatus;
import org.springframework.http.ResponseEntity;
import org.springframework.http.client.HttpComponentsClientHttpRequestFactory;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;
import org.springframework.web.client.RestTemplate;
import org.apache.http.conn.ssl.SSLConnectionSocketFactory;
import org.apache.http.conn.ssl.TrustSelfSignedStrategy;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClients;
import org.apache.http.ssl.SSLContexts;
@SpringBootApplication
@RestController
public class SsltestApplication {
public static void main(String[] args) {
SpringApplication.run(SsltestApplication.class, args);
}
@GetMapping(value = "/ssl-test")
public String inbound(){
return "Inbound TLS is working!!";
}
@GetMapping(value = "/ssl-test-outbound")
public String outbound() throws Exception {
KeyStore azureKeyVaultKeyStore = KeyStore.getInstance("AzureKeyVault");
KeyVaultLoadStoreParameter parameter = new KeyVaultLoadStoreParameter(
System.getProperty("azure.keyvault.uri"));
azureKeyVaultKeyStore.load(parameter);
SSLContext sslContext = SSLContexts.custom()
.loadTrustMaterial(azureKeyVaultKeyStore, null)
.build();
HostnameVerifier allowAll = (String hostName, SSLSession session) -> true;
SSLConnectionSocketFactory csf = new SSLConnectionSocketFactory(sslContext, allowAll);
CloseableHttpClient httpClient = HttpClients.custom()
.setSSLSocketFactory(csf)
.build();
HttpComponentsClientHttpRequestFactory requestFactory =
new HttpComponentsClientHttpRequestFactory();
requestFactory.setHttpClient(httpClient);
RestTemplate restTemplate = new RestTemplate(requestFactory);
String sslTest = "https://localhost:8443/ssl-test";
ResponseEntity<String> response
= restTemplate.getForEntity(sslTest, String.class);
return "Outbound TLS " +
(response.getStatusCode() == HttpStatus.OK ? "is" : "is not") + " Working!!";
}
@GetMapping(value = "/exit")
public void exit() {
System.exit(0);
}
}- 构建应用程序。
cd ssltest mvn clean package
- 使用本文前面的相同 sftp 命令再次上传应用程序。
cd target sftp <your VM public IP address> put *.jar
- 在 VM 上运行应用程序。
set -o noglob ssh azureuser@<your VM public IP address> "java -jar *.jar"
- 服务器运行后，验证服务器是否接受 TLS/SSL 证书。在发出上一个 curl 命令的同一个 Bash shell 中，运行以下命令。
curl --insecure https://<your VM public IP address>:8443/ssl-test-outbound
您应该会看到消息出站 TLS 正在工作！！。
- 调用退出路径以终止服务器并关闭网络套接字。
curl --insecure https://<your VM public IP address>:8443/exit
你现在已经看到了一个简单的说明，说明了使用存储在 Azure Key Vault 中的自签名 TLS/SSL 证书进行加载、呈现和接受操作。
清理资源
使用完本教程中创建的 Azure 资源后，可以使用以下命令删除它们：
az group delete --name <your resource group name>
- 63 次浏览