devth/vaultjks

Vault JKS镜像说明

镜像概述

Vault JKS镜像是一个轻量级工具，旨在从Vault服务器的PKI后端获取CA证书并请求新的SSL/TLS证书，然后将这些证书导入到Java信任库（truststore）和密钥库（keystore）文件中，方便Java应用快速集成安全证书。

核心功能

1. 从Vault PKI后端获取CA根证书
2. 基于指定角色请求带有自定义属性的证书（通用名、SAN等）
3. 将CA证书导入Java信任库
4. 将请求到的证书与私钥导入Java密钥库
5. 支持Vault令牌认证或用户名密码认证
6. 可配置证书存储路径及相关参数

使用场景

1. 容器化Java应用（如Kubernetes部署）需要动态获取证书
2. 自动化管理Java应用的SSL/TLS证书生命周期
3. 与Vault集成实现证书的安全存储与分发

配置说明

以下环境变量可用于配置镜像行为：

• VAULT_ADDR：Vault服务器地址（必填）
• VAULT_AUTH_FILE：认证文件路径（可选，可包含VAULT_TOKEN或VAULT_USER/VAULT_PASSWORD）
• VAULT_TOKEN：Vault认证令牌（可选，优先于用户名密码）
• VAULT_USER：Vault用户名（当VAULT_TOKEN未设置时必填）
• VAULT_PASSWORD：Vault密码（当VAULT_TOKEN未设置时必填）
• VAULT_PKI_PATH：Vault PKI后端挂载路径（默认：shared/pki）
• VAULT_ROLE_NAME：PKI角色名称（默认：cert-request）
• CERT_COMMON_NAME：证书通用名（默认：localhost）
• IP_SAN：IP主题备用名称（默认：当前主机IP）
• ALT_NAMES：逗号分隔的主机名/***SAN列表
• IMPORT_SYSTEM_TRUSTSTORE：是否导入系统信任库（默认：true）
• TRUSTSTORE_FILE：信任库文件路径（默认：truststore.jks）
• KEYSTORE_FILE：密钥库文件路径（默认：keystore.jks）
• SLEEP_FOREVER：生成证书后是否永久休眠（适用于Kubernetes pod，默认：false）

部署示例

bash
docker run -ti \
  -e VAULT_ADDR=https://vault:8200 \
  -e VAULT_TOKEN=44eecf54-5b01-4bd5-a8c4-f4032b9e7e10 \
  -v /本地证书目录:/data \
  devth/vaultjks:latest

该命令会将生成的keystore和truststore文件挂载到本地/本地证书目录路径下。