danw/cf-vault-service-broker

Cloud Foundry Vault服务Broker

本镜像提供HashiCorp Vault的Cloud Foundry服务broker实现，可连接现有Vault集群，支持Cloud Foundry内的多租户使用，为应用提供安全的密钥存储与加密服务。

核心功能

• 为Cloud Foundry应用创建Vault服务实例并绑定
• 生成定制化Vault策略，实现组织、空间及实例级别的权限控制
• 自动生成和续期Vault令牌，保障服务持续可用
• 支持通用密钥存储（generic）和加密即服务（transit）后端

使用场景

• Cloud Foundry环境下的应用需要安全存储敏感密钥（如数据库密码、API密钥）
• 应用需要加密/解密数据（利用Vault的transit后端）
• 组织或空间内的应用需要共享敏感数据（通过共享命名空间）

配置说明

通过环境变量配置broker：

• VAULT_ADDR：Vault服务器地址（必填）
• VAULT_TOKEN：broker访问Vault的令牌（必填，需具备挂载后端、创建策略等权限）
• SECURITY_USER_NAME：broker的基础认证用户名（必填）
• SECURITY_USER_PASSWORD：broker的基础认证密码（必填）
• PORT：broker监听端口（默认8000）
• VAULT_ADVERTISE_ADDR：向客户端展示的Vault地址（默认同VAULT_ADDR）

部署示例（Cloud Foundry环境）

1. 准备环境变量

bash
export VAULT_ADDR="https://vault.company.internal/"
export VAULT_TOKEN="your-vault-token"
export USERNAME="vault-broker"
export PASSWORD="your-broker-password"

2. 创建空间并部署broker

bash
# 创建空间
cf create-space vault-broker
# 切换到该空间
cf target -s vault-broker
# 克隆仓库并推送应用
git clone https://github.com/hashicorp/cf-vault-broker
cd cf-vault-broker
cf push --random-route --no-start

3. 配置环境变量并启动

bash
cf set-env vault-broker VAULT_ADDR "$VAULT_ADDR"
cf set-env vault-broker VAULT_TOKEN "$VAULT_TOKEN"
cf set-env vault-broker SECURITY_USER_NAME "$USERNAME"
cf set-env vault-broker SECURITY_USER_PASSWORD "$PASSWORD"
# 启动应用
cf start vault-broker

4. 注册broker到Cloud Foundry

bash
# 获取broker URL
BROKER_URL=$(cf app vault-broker | grep urls: | awk '{print $2}')
# 注册空间级broker
cf create-service-broker vault-broker $USERNAME $PASSWORD "https://${BROKER_URL}" --space-scoped

5. 创建服务实例并绑定应用

bash
# 创建Vault服务实例
cf create-service vault default my-vault
# 绑定到应用（假设应用名为my-app）
cf bind-service my-app my-vault
# 重新部署应用以加载配置
cf restage my-app