Secret 存储组件规范 on Dapr 文档库

AWS Secrets Manager

Mon, 01 Jan 0001 00:00:00 +0000

组件格式

要设置 AWS Secrets Manager 的密钥存储，需创建一个类型为 secretstores.aws.secretmanager 的组件。请参阅本指南了解如何创建和应用密钥存储配置。请参阅本指南以引用 secrets以检索和使用 Dapr 组件的密钥。

有关身份验证相关属性的信息，请参阅身份验证到 AWS。

apiVersion: dapr.io/v1alpha1
kind: Component
metadata:
 name: awssecretmanager
spec:
 type: secretstores.aws.secretmanager
 version: v1
 metadata:
 - name: region
 value: "[aws_region]"
 - name: accessKey
 value: "[aws_access_key]"
 - name: secretKey
 value: "[aws_secret_key]"
 - name: sessionToken
 value: "[aws_session_token]"

警告

上述示例中使用了明文形式的字符串作为密钥。建议使用本地密钥存储，例如Kubernetes 密钥存储或本地文件来安全地存储密钥。

规格元数据字段

字段	必需	详情	示例
region	Y	部署 AWS Secrets Manager 实例的特定 AWS 区域	`"us-east-1"`
accessKey	Y	访问此资源的 AWS 访问密钥	`"key"`
secretKey	Y	访问此资源的 AWS 秘密访问密钥	`"secretAccessKey"`
sessionToken	N	要使用的 AWS 会话令牌	`"sessionToken"`

重要

当在 EKS（AWS Kubernetes）上与应用程序一起运行 Dapr sidecar（daprd）时，如果您使用的节点或 Pod 已经附加了定义访问 AWS 资源的 IAM 策略，则不应在组件规格中提供 AWS 访问密钥、秘密密钥和令牌。

可选的每请求元数据属性

从此密钥存储检索密钥时，可以提供以下可选查询参数：

AWS SSM 参数存储

Mon, 01 Jan 0001 00:00:00 +0000

组件格式

要设置 AWS SSM 参数存储的机密存储，需创建一个 secretstores.aws.parameterstore 类型的组件。请参阅本指南了解如何创建和应用机密存储配置。请参阅本指南，了解如何引用机密以检索和使用 Dapr 组件的机密。

有关身份验证相关属性的信息，请参阅身份验证到 AWS。

apiVersion: dapr.io/v1alpha1
kind: Component
metadata:
 name: awsparameterstore
spec:
 type: secretstores.aws.parameterstore
 version: v1
 metadata:
 - name: region
 value: "[aws_region]"
 - name: accessKey
 value: "[aws_access_key]"
 - name: secretKey
 value: "[aws_secret_key]"
 - name: sessionToken
 value: "[aws_session_token]"
 - name: prefix
 value: "[secret_name]"

警告

上述示例使用了明文字符串作为机密。建议使用本地机密存储，例如 Kubernetes 机密存储或本地文件来安全地存储密钥。

规格元数据字段

字段	必需	详细信息	示例
region	Y	部署 AWS SSM 参数存储实例的特定 AWS 区域	`"us-east-1"`
accessKey	Y	访问此资源的 AWS 访问密钥	`"key"`
secretKey	Y	访问此资源的 AWS 秘密访问密钥	`"secretAccessKey"`
sessionToken	N	要使用的 AWS 会话令牌	`"sessionToken"`
prefix	N	用于指定多个 SSM 参数存储机密存储组件的前缀。	`"prefix"`

重要

在 EKS（AWS Kubernetes）上运行 Dapr sidecar（daprd）时，如果节点/Pod 已附加了访问 AWS 资源的 IAM 策略，则不应在组件规格中提供 AWS 访问密钥、秘密密钥和令牌。

创建 AWS SSM 参数存储实例

请参考 AWS 文档以设置 AWS SSM 参数存储：https://docs.aws.amazon.com/systems-manager/latest/userguide/systems-manager-parameter-store.html。

Azure Key Vault 密钥存储

Mon, 01 Jan 0001 00:00:00 +0000

组件格式

要设置 Azure Key Vault 密钥存储，创建一个类型为 secretstores.azure.keyvault 的组件。

请参阅密钥存储组件指南以了解如何创建和应用密钥存储配置。
请参阅引用密钥的指南以使用 Dapr 组件检索和使用密钥。
请参阅下面的配置组件部分。

apiVersion: dapr.io/v1alpha1
kind: Component
metadata:
 name: azurekeyvault
spec:
 type: secretstores.azure.keyvault
 version: v1
 metadata:
 - name: vaultName # 必需
 value: [your_keyvault_name]
 - name: azureEnvironment # 可选，默认为 AZUREPUBLICCLOUD
 value: "AZUREPUBLICCLOUD"
 # 请参阅下面的身份验证部分以获取所有选项
 - name: azureTenantId
 value: "[your_service_principal_tenant_id]"
 - name: azureClientId
 value: "[your_service_principal_app_id]"
 - name: azureCertificateFile
 value : "[pfx_certificate_file_fully_qualified_local_path]"

通过 Microsoft Entra ID 进行身份验证

Azure Key Vault 密钥存储组件仅支持通过 Microsoft Entra ID 进行身份验证。在启用此组件之前，请确保：

GCP Secret Manager

Mon, 01 Jan 0001 00:00:00 +0000

组件格式

要设置 GCP Secret Manager 的机密存储，创建一个类型为 secretstores.gcp.secretmanager 的组件。请参阅本指南了解如何创建和应用机密存储配置。请参阅本指南了解如何引用机密以使用 Dapr 组件检索和使用机密。

apiVersion: dapr.io/v1alpha1
kind: Component
metadata:
 name: gcpsecretmanager
spec:
 type: secretstores.gcp.secretmanager
 version: v1
 metadata:
 - name: type
 value: <replace-with-account-type>
 - name: project_id
 value: <replace-with-project-id>
 - name: private_key_id
 value: <replace-with-private-key-id>
 - name: client_email
 value: <replace-with-email>
 - name: client_id
 value: <replace-with-client-id>
 - name: auth_uri
 value: <replace-with-auth-uri>
 - name: token_uri
 value: <replace-with-token-uri>
 - name: auth_provider_x509_cert_url
 value: <replace-with-auth-provider-cert-url>
 - name: client_x509_cert_url
 value: <replace-with-client-cert-url>
 - name: private_key
 value: <replace-with-private-key>

警告

上述示例中使用了明文字符串来存储机密。建议使用本地机密存储，例如 Kubernetes 机密存储或本地文件来安全地管理密钥。

规格元数据字段

字段	必需	详细信息	示例
type	Y	账户类型。	`"service_account"`
project_id	Y	与此组件关联的项目 ID。	`"project_id"`
private_key_id	N	私钥 ID	`"privatekey"`
client_email	Y	客户端电子邮件地址	`"client@example.com"`
client_id	N	客户端 ID	`"11111111"`
auth_uri	N	认证 URI	`"https://accounts.google.com/o/oauth2/auth"`
token_uri	N	认证令牌 URI	`"https://oauth2.googleapis.com/token"`
auth_provider_x509_cert_url	N	认证提供者的证书 URL	`"https://www.googleapis.com/oauth2/v1/certs"`
client_x509_cert_url	N	客户端的证书 URL	`"https://www.googleapis.com/robot/v1/metadata/x509/<project-name>.iam.gserviceaccount.com"`
private_key	Y	用于认证的私钥	`"privateKey"`

可选的每请求元数据属性

GCP Secret Manager 组件支持以下可选查询参数：

HashiCorp Vault

Mon, 01 Jan 0001 00:00:00 +0000

如何创建 Vault 组件

要设置 HashiCorp Vault 密钥存储，请创建一个类型为 secretstores.hashicorp.vault 的组件。请参阅本指南以了解如何创建和应用密钥存储配置。请参阅本指南以了解如何引用密钥以使用 Dapr 组件检索和使用密钥。

apiVersion: dapr.io/v1alpha1
kind: Component
metadata:
 name: vault
spec:
 type: secretstores.hashicorp.vault
 version: v1
 metadata:
 - name: vaultAddr
 value: [vault_address] # 可选。默认值："https://127.0.0.1:8200"
 - name: caCert # 可选。此项或 caPath 或 caPem
 value: "[ca_cert]"
 - name: caPath # 可选。此项或 CaCert 或 caPem
 value: "[path_to_ca_cert_file]"
 - name: caPem # 可选。此项或 CaCert 或 CaPath
 value : "[encoded_ca_cert_pem]"
 - name: skipVerify # 可选。默认值：false
 value : "[skip_tls_verification]"
 - name: tlsServerName # 可选。
 value : "[tls_config_server_name]"
 - name: vaultTokenMountPath # 如果未提供 vaultToken 则必填。令牌文件的路径。
 value : "[path_to_file_containing_token]"
 - name: vaultToken # 如果未提供 vaultTokenMountPath 则必填。令牌值。
 value : "[path_to_file_containing_token]"
 - name: vaultKVPrefix # 可选。默认值："dapr"
 value : "[vault_prefix]"
 - name: vaultKVUsePrefix # 可选。默认值："true"
 value: "[true/false]"
 - name: enginePath # 可选。默认值："secret"
 value: "secret"
 - name: vaultValueType # 可选。默认值："map"
 value: "map"

警告

上述示例中，密钥以明文形式使用。建议使用本地密钥存储，如Kubernetes 密钥存储或本地文件来引导安全密钥存储。

规格元数据字段

字段	必需	详细信息	示例
vaultAddr	否	Vault 服务器的地址。默认为 `"https://127.0.0.1:8200"`	`"https://127.0.0.1:8200"`
caPem	否	要使用的 CA 证书的内联内容，PEM 格式。如果定义，则优先于 `caPath` 和 `caCert`。	见下文
caPath	否	要使用的 CA 证书文件所在文件夹的路径，PEM 格式。如果文件夹包含多个文件，则仅使用找到的第一个文件。如果定义，则优先于 `caCert`。	`"path/to/cacert/holding/folder"`
caCert	否	要使用的 CA 证书的路径，PEM 格式。	`""path/to/cacert.pem"`
skipVerify	否	跳过 TLS 验证。默认为 `"false"`	`"true"`, `"false"`
tlsServerName	否	在 TLS 握手期间请求的服务器名称，以支持虚拟主机。此值还用于验证 Vault 服务器提供的 TLS 证书。	`"tls-server"`
vaultTokenMountPath	是	包含令牌的文件路径	`"path/to/file"`
vaultToken	是	令牌用于在 Vault 中进行身份验证。	`"tokenValue"`
vaultKVPrefix	否	Vault 中的前缀。默认为 `"dapr"`	`"dapr"`, `"myprefix"`
vaultKVUsePrefix	否	如果为 false，则强制 vaultKVPrefix 为空。如果未给出值或设置为 true，则在访问 Vault 时使用 vaultKVPrefix。将其设置为 false 是为了能够使用存储的 BulkGetSecret 方法。	`"true"`, `"false"`
enginePath	否	Vault 中的引擎路径。默认为 `"secret"`	`"kv"`, `"any"`
vaultValueType	否	Vault 值类型。`map` 表示将值解析为 `map[string]string`，`text` 表示将值用作字符串。`map` 设置 `multipleKeyValuesPerSecret` 行为。`text` 使 Vault 表现为具有名称/值语义的密钥存储。默认为 `"map"`	`"map"`, `"text"`

每个请求的可选元数据属性

以下可选查询参数可以提供给 Hashicorp Vault 密钥存储组件：

Kubernetes secrets

Mon, 01 Jan 0001 00:00:00 +0000

默认 Kubernetes secret 存储组件

在 Dapr 部署到 Kubernetes 集群时，系统会自动配置一个名为 kubernetes 的 secret 存储。这个预配置的 secret 存储允许开发人员直接使用 Kubernetes 的原生 secret 存储，而无需编写、部署或维护额外的组件配置文件，这对于希望简单地访问 Kubernetes 集群中 secret 的开发人员非常有用。

您仍然可以配置一个自定义的 Kubernetes secret 存储组件定义文件（详见下文）。通过自定义定义，您可以将代码中对 secret 存储的引用与托管平台解耦，因为存储名称可以自定义，不是固定的，这样可以使代码更通用和可移植。此外，通过显式定义 Kubernetes secret 存储组件，您可以从本地 Dapr 自托管安装连接到 Kubernetes secret 存储。这需要一个有效的 kubeconfig 文件。

限制 secret 存储访问

当使用 secret 范围限制应用程序中对 secret 的访问时，重要的是在范围定义中包含默认的 secret 存储以进行限制。

创建自定义 Kubernetes secret 存储组件

要设置 Kubernetes secret 存储，请创建一个类型为 secretstores.kubernetes 的组件。请参阅本指南了解如何创建和应用 secretstore 配置。请参阅本指南了解如何引用 secret以检索和使用 Dapr 组件的 secret。

apiVersion: dapr.io/v1alpha1
kind: Component
metadata:
 name: mycustomsecretstore
spec:
 type: secretstores.kubernetes
 version: v1
 metadata:[]

配置元数据字段

字段	必需	详情	示例
`defaultNamespace`	否	默认命名空间以检索 secret。如果未设置，则必须在每个请求元数据中或通过环境变量 `NAMESPACE` 指定 `namespace`	`"default-ns"`
`kubeconfigPath`	否	kubeconfig 文件的路径。如果未指定，存储将使用默认的集群内配置值	`"/path/to/kubeconfig"`

可选的每请求元数据参数

可以为 Kubernetes secret 存储组件提供以下可选查询参数：

阿里云 OOS 参数存储

Mon, 01 Jan 0001 00:00:00 +0000

组件格式

要配置阿里云 OOS 参数存储的密钥存储，需创建一个类型为 secretstores.alicloud.parameterstore 的组件。请参阅本指南了解如何创建和应用密钥存储配置。请参阅本指南，了解如何在 Dapr 组件中引用和使用 secret。

apiVersion: dapr.io/v1alpha1
kind: Component
metadata:
 name: alibabacloudparameterstore
spec:
 type: secretstores.alicloud.parameterstore
 version: v1
 metadata:
 - name: regionId
 value: "[alicloud_region_id]"
 - name: accessKeyId 
 value: "[alicloud_access_key_id]"
 - name: accessKeySecret
 value: "[alicloud_access_key_secret]"
 - name: securityToken
 value: "[alicloud_security_token]"

警告

上述示例中，secret 以明文字符串形式使用。建议使用本地密钥存储，例如 Kubernetes 密钥存储或本地文件来安全地存储密钥。

规格元数据字段

字段	必需	详细信息	示例
regionId	Y	部署阿里云 OOS 参数存储实例的特定区域	`"cn-hangzhou"`
accessKeyId	Y	访问此资源的阿里云访问密钥 ID	`"accessKeyId"`
accessKeySecret	Y	访问此资源的阿里云访问密钥 Secret	`"accessKeySecret"`
securityToken	N	使用的阿里云安全令牌	`"securityToken"`

可选的每请求元数据属性

在从此密钥存储检索 secret 时，可以提供以下可选查询参数：

本地环境变量（用于开发）

Mon, 01 Jan 0001 00:00:00 +0000

此 Dapr secret 存储组件使用本地定义的环境变量，并且不使用身份验证。

警告

这种 secret 管理方法不建议用于生产环境。

组件格式

要配置本地环境变量 secret 存储，需要创建一个类型为 secretstores.local.env 的组件。在 ./components 目录中创建一个文件，内容如下：

apiVersion: dapr.io/v1alpha1
kind: Component
metadata:
 name: envvar-secret-store
spec:
 type: secretstores.local.env
 version: v1
 metadata:
 # - name: prefix
 # value: "MYAPP_"

规格元数据字段

字段	必需	详情	示例
`prefix`	否	如果设置此字段，则仅操作具有指定前缀的环境变量。返回的 secret 名称中将移除该前缀。在 Windows 上匹配时不区分大小写，而在其他操作系统上区分大小写。	`"MYAPP_"`

注意事项

出于安全考虑，此组件无法访问以下环境变量：

APP_API_TOKEN
任何以 DAPR_ 前缀开头的变量

本地文件（用于开发）

Mon, 01 Jan 0001 00:00:00 +0000

此 Dapr secret 存储组件从指定文件读取纯文本 JSON，并且不使用身份验证。

警告

不建议在生产环境中使用这种 secret 管理方法。

组件格式

要设置基于本地文件的 secret 存储，请创建一个类型为 secretstores.local.file 的组件。在 ./components 目录中创建一个包含以下内容的文件：

apiVersion: dapr.io/v1alpha1
kind: Component
metadata:
 name: local-secret-store
spec:
 type: secretstores.local.file
 version: v1
 metadata:
 - name: secretsFile
 value: [path to the JSON file]
 - name: nestedSeparator
 value: ":"
 - name: multiValued
 value: "false"

规格元数据字段

字段	必需	详细信息	示例
secretsFile	Y	存储 secret 的文件路径	`"path/to/file.json"`
nestedSeparator	N	用于展平 JSON 层次结构时的分隔符，默认为 `":"`	`":"`
multiValued	N	`"true"` 启用 `multipleKeyValuesPerSecret` 行为，允许在展平 JSON 层次结构前有一级多值键/值对。默认为 `"false"`	`"true"`

设置 JSON 文件以保存 secret

假设从 secretsFile 加载的 JSON 如下：

华为云密钥管理服务 (CSMS)

Mon, 01 Jan 0001 00:00:00 +0000

组件格式

要配置华为云密钥管理服务 (CSMS) 的密钥存储，需创建一个类型为 secretstores.huaweicloud.csms 的组件。请参阅本指南了解如何创建和应用密钥存储配置。有关如何引用密钥以在 Dapr 组件中检索和使用密钥的信息，请参阅本指南。

apiVersion: dapr.io/v1alpha1
kind: Component
metadata:
 name: huaweicloudcsms
spec:
 type: secretstores.huaweicloud.csms
 version: v1
 metadata:
 - name: region
 value: "[huaweicloud_region]"
 - name: accessKey 
 value: "[huaweicloud_access_key]"
 - name: secretAccessKey
 value: "[huaweicloud_secret_access_key]"

警告

上述示例中，密钥以明文字符串形式使用。建议使用本地密钥存储，例如 Kubernetes 密钥存储或本地文件来确保密钥的安全存储。

元数据字段说明

字段	必需	详细信息	示例
region	是	华为云 CSMS 实例所在的具体区域	`"cn-north-4"`
accessKey	是	用于访问此资源的华为云访问密钥	`"accessKey"`
secretAccessKey	是	用于访问此资源的华为云密钥访问密钥	`"secretAccessKey"`

可选的每请求元数据属性

在从此密钥存储检索密钥时，可以提供以下可选查询参数：

Secret 存储组件规范 on Dapr 文档库

AWS Secrets Manager

组件格式

警告

规格元数据字段

重要

可选的每请求元数据属性

AWS SSM 参数存储

组件格式

警告

规格元数据字段

重要

创建 AWS SSM 参数存储实例

Azure Key Vault 密钥存储

组件格式

通过 Microsoft Entra ID 进行身份验证

GCP Secret Manager

组件格式

警告

规格元数据字段

可选的每请求元数据属性

HashiCorp Vault

如何创建 Vault 组件

警告

规格元数据字段

每个请求的可选元数据属性

Kubernetes secrets

默认 Kubernetes secret 存储组件

限制 secret 存储访问

创建自定义 Kubernetes secret 存储组件

配置元数据字段

可选的每请求元数据参数

阿里云 OOS 参数存储

组件格式

警告

规格元数据字段

可选的每请求元数据属性

本地环境变量（用于开发）

警告

组件格式

规格元数据字段

注意事项

相关链接

本地文件（用于开发）

警告

组件格式

规格元数据字段

设置 JSON 文件以保存 secret

华为云密钥管理服务 (CSMS)

组件格式

警告

元数据字段说明

可选的每请求元数据属性