凭据管系统建好了真正的挑战是怎么接进各种业务。不同技术栈、不同改造意愿接入方式天差地别。安当 SMS 提供六种典型接入场景本文逐一拆解定位、配置要点与最佳实践并给出选型决策逻辑。一、六种场景总览场景核心机制技术要点 Jenkins 插件构建时动态取密全局配置 远端定位withCredentials 块☕ Spring Boot启动时自动解密注入SMS{}占位标记application.yml☸️ KubernetesServiceAccount 身份获取init/sidecar 模式bundle.json 文件 代理注入黑盒应用启动前注入sms-cli 启动脚本环境变量注入 LDAP专用技术账号托管目录服务密码轮转生产30天/测试7天 RabbitMQ最小权限分发仅发布/仅消费禁止.*通配二、Jenkins职责分离分层配置定位Jenkins 负责构建执行SMS 负责凭据托管职责分离。配置分层全局配置只放 SMS 连接与认证参数Base URL / Domain / App ID / App Secret / 客户端私钥 PEM / TLS 校验 / 超时 / 签名时间偏移单条 Jenkins 动态凭据只放远端定位信息Jenkins ID / Description / SMS Label / SMS Version / 凭据类型。凭据设计一条 Jenkins 凭据对应一条 SMS 远端凭据一个label version便于审计/定位/控权/轮换。命名规范稳定可读可复用mysql-prod-app、ldap-test-admin、rabbitmq-prod-publisher禁止 UUID 当长期业务 ID。Pipeline先做注入验证再做业务验证不回显明文不依赖日志脱敏同一 Stage 内同一withCredentials块完成相关操作。三、Spring Boot业务代码零改造application.yml中用SMS{...}标记敏感配置不落盘明文启动时自动解密注入 Spring Environment业务代码零改造可选运行期轮转刷新。ksp:sms:enabled:trueurl:https://ksp-sms-hostdomain:1appKey:${KSP_SMS_APP_KEY}# 仅来自环境变量/启动参数/外部密钥系统appSecret:${KSP_SMS_APP_SECRET}version:cipherPrefix:SMS{jsonKey:valuespring:datasource:username:SMS{mysql00:username}password:SMS{mysql00:password}解密失败策略生产前评审达成一致强安全/强一致场景fail-fast解密失败直接终止启动避免带密文运行兼容场景允许启动但必须告警。运行期轮转刷新refresh.enabledtrueleadTimeSeconds: 300Hikari 连接池热更新更新用户名/密码并逐步淘汰旧连接validateOnRotatetrue避免切到无效凭据hikariEnabled: true。安全强制appKey/appSecret只允许环境变量注入默认值应为空且启动时校验必填排障日志仅打印命中/key/错误码。四、Kubernetes显式注入 vs 自动注入方案实现适用场景显式注入业务在 Helm/ Pod YAML 显式加入sms-agentinit 模式拉一次 / sidecar 模式持续刷新首次 PoC、单业务试点、不希望新增 Webhook自动注入平台部署注入器基于 MutatingAdmissionWebhook 自动补齐容器/卷/挂载/私钥 Secret多业务多命名空间、平台化治理、批量推广统一架构原则身份统一固定 ServiceAccount按namespace serviceAccountName绑定角色凭据消费统一业务优先从/sms/secrets读取bundle.json密钥管理统一RSA 私钥通过 K8S Secret 管理不写镜像/代码仓库交付边界统一平台侧负责能力/注入组件集群管理员负责策略/Webhook业务团队负责读取逻辑/验收。静态凭据用 init 模式动态凭据用 sidecar 模式。推荐三步走先单业务验证登录/取密/解密/文件输出 → 再验证文件读取与动态重载 → 最后推广到统一模板或自动注入模式。五、代理注入黑盒应用不改造通过启动代理sms-cli 启动脚本在进程启动前注入敏感参数适合无法改造的黑盒应用。交付包含app.jar、sms-cli、sms-launcher.sh、.sms-cache.enc加密缓存灾备回退。安全要点禁止命令行参数传明文密码改用环境变量或临时文件用后删除禁止默认模式打印明文到 stdout/stderr。缓存回退cache.enabled: true时 live 拉取失败读本地加密缓存AES-GCM禁明文落盘缓存密钥SMS_CACHE_KEY由客户侧定义并环境变量注入建议 ≥32 字符强随机串缓存必须有 TTL如 10 分钟。六、LDAP 与 RabbitMQ专用账号 最小权限LDAP优先创建专用技术账号 平台托管密码生命周期每系统/每环境/每类用途独立账号根凭据必须用客户侧专用服务账号仅查用户/改密码/读组信息不得用目录超级管理员。统一开启密码轮转生产 30 天、测试 7 天账号纳入平台后改密必须统一通过平台禁止绕开平台人工改密。RabbitMQ生产者/消费者/测试/生产均独立命名系统名_用途_环境如order_publish_prod。权限四项参数vhost/configure_regex/write_regex/read_regex。标准仅两类——仅发布 / 仅消费configure_regex默认必须为空。权限红线禁止.*全通配权限全量配置权限管理员角色生产消费共用同一账号多系统共用同一业务账号。验收以实际消息行为为准仅发布账号可发指定 Exchange 不可消费目标 Queue业务账号能否登录管理 UI不作为验收标准。七、小结选型一句话能改代码用 SDK/Starter改不动用代理注入编排环境用 K8s 注入器中间件/目录服务用专用账号最小权限托管。无论哪种记住三条铁律凭据不落盘、不回显、生产不关 TLS 校验。关键词凭据管理 / 密钥管理 / 接入场景 / 最小权限 / Spring Boot / 等保合规 / 安当SMS / Kubernetes
凭据管系统建好了真正的挑战是怎么接进各种业务。不同技术栈、不同改造意愿接入方式天差地别。安当 SMS 提供六种典型接入场景本文逐一拆解定位、配置要点与最佳实践并给出选型决策逻辑。一、六种场景总览场景核心机制技术要点 Jenkins 插件构建时动态取密全局配置 远端定位withCredentials 块☕ Spring Boot启动时自动解密注入SMS{}占位标记application.yml☸️ KubernetesServiceAccount 身份获取init/sidecar 模式bundle.json 文件 代理注入黑盒应用启动前注入sms-cli 启动脚本环境变量注入 LDAP专用技术账号托管目录服务密码轮转生产30天/测试7天 RabbitMQ最小权限分发仅发布/仅消费禁止.*通配二、Jenkins职责分离分层配置定位Jenkins 负责构建执行SMS 负责凭据托管职责分离。配置分层全局配置只放 SMS 连接与认证参数Base URL / Domain / App ID / App Secret / 客户端私钥 PEM / TLS 校验 / 超时 / 签名时间偏移单条 Jenkins 动态凭据只放远端定位信息Jenkins ID / Description / SMS Label / SMS Version / 凭据类型。凭据设计一条 Jenkins 凭据对应一条 SMS 远端凭据一个label version便于审计/定位/控权/轮换。命名规范稳定可读可复用mysql-prod-app、ldap-test-admin、rabbitmq-prod-publisher禁止 UUID 当长期业务 ID。Pipeline先做注入验证再做业务验证不回显明文不依赖日志脱敏同一 Stage 内同一withCredentials块完成相关操作。三、Spring Boot业务代码零改造application.yml中用SMS{...}标记敏感配置不落盘明文启动时自动解密注入 Spring Environment业务代码零改造可选运行期轮转刷新。ksp:sms:enabled:trueurl:https://ksp-sms-hostdomain:1appKey:${KSP_SMS_APP_KEY}# 仅来自环境变量/启动参数/外部密钥系统appSecret:${KSP_SMS_APP_SECRET}version:cipherPrefix:SMS{jsonKey:valuespring:datasource:username:SMS{mysql00:username}password:SMS{mysql00:password}解密失败策略生产前评审达成一致强安全/强一致场景fail-fast解密失败直接终止启动避免带密文运行兼容场景允许启动但必须告警。运行期轮转刷新refresh.enabledtrueleadTimeSeconds: 300Hikari 连接池热更新更新用户名/密码并逐步淘汰旧连接validateOnRotatetrue避免切到无效凭据hikariEnabled: true。安全强制appKey/appSecret只允许环境变量注入默认值应为空且启动时校验必填排障日志仅打印命中/key/错误码。四、Kubernetes显式注入 vs 自动注入方案实现适用场景显式注入业务在 Helm/ Pod YAML 显式加入sms-agentinit 模式拉一次 / sidecar 模式持续刷新首次 PoC、单业务试点、不希望新增 Webhook自动注入平台部署注入器基于 MutatingAdmissionWebhook 自动补齐容器/卷/挂载/私钥 Secret多业务多命名空间、平台化治理、批量推广统一架构原则身份统一固定 ServiceAccount按namespace serviceAccountName绑定角色凭据消费统一业务优先从/sms/secrets读取bundle.json密钥管理统一RSA 私钥通过 K8S Secret 管理不写镜像/代码仓库交付边界统一平台侧负责能力/注入组件集群管理员负责策略/Webhook业务团队负责读取逻辑/验收。静态凭据用 init 模式动态凭据用 sidecar 模式。推荐三步走先单业务验证登录/取密/解密/文件输出 → 再验证文件读取与动态重载 → 最后推广到统一模板或自动注入模式。五、代理注入黑盒应用不改造通过启动代理sms-cli 启动脚本在进程启动前注入敏感参数适合无法改造的黑盒应用。交付包含app.jar、sms-cli、sms-launcher.sh、.sms-cache.enc加密缓存灾备回退。安全要点禁止命令行参数传明文密码改用环境变量或临时文件用后删除禁止默认模式打印明文到 stdout/stderr。缓存回退cache.enabled: true时 live 拉取失败读本地加密缓存AES-GCM禁明文落盘缓存密钥SMS_CACHE_KEY由客户侧定义并环境变量注入建议 ≥32 字符强随机串缓存必须有 TTL如 10 分钟。六、LDAP 与 RabbitMQ专用账号 最小权限LDAP优先创建专用技术账号 平台托管密码生命周期每系统/每环境/每类用途独立账号根凭据必须用客户侧专用服务账号仅查用户/改密码/读组信息不得用目录超级管理员。统一开启密码轮转生产 30 天、测试 7 天账号纳入平台后改密必须统一通过平台禁止绕开平台人工改密。RabbitMQ生产者/消费者/测试/生产均独立命名系统名_用途_环境如order_publish_prod。权限四项参数vhost/configure_regex/write_regex/read_regex。标准仅两类——仅发布 / 仅消费configure_regex默认必须为空。权限红线禁止.*全通配权限全量配置权限管理员角色生产消费共用同一账号多系统共用同一业务账号。验收以实际消息行为为准仅发布账号可发指定 Exchange 不可消费目标 Queue业务账号能否登录管理 UI不作为验收标准。七、小结选型一句话能改代码用 SDK/Starter改不动用代理注入编排环境用 K8s 注入器中间件/目录服务用专用账号最小权限托管。无论哪种记住三条铁律凭据不落盘、不回显、生产不关 TLS 校验。关键词凭据管理 / 密钥管理 / 接入场景 / 最小权限 / Spring Boot / 等保合规 / 安当SMS / Kubernetes
