Hashicorp Vault Proxy 镜像文档

1. 镜像概述

1.1 主要用途

本镜像实现了Nuts密钥存储API规范（v1版本），作为Nuts节点与Hashicorp Vault服务器之间的代理服务。其核心功能是将Hashicorp Vault集成为Nuts节点的外部密钥存储，实现密钥的安全存储与管理。

2. 核心功能与特性

• API规范兼容：严格实现Nuts secret store API v1规范，确保与Nuts节点的通信兼容性。
• 代理转发：作为中间层，转发Nuts节点与Hashicorp Vault之间的密钥操作请求（如存储、读取、删除密钥）。
• Vault集成：支持Hashicorp Vault的标准密钥存储功能，包括KV引擎（v1/v2）的密钥管理。
• 轻量级部署：容器化设计，支持快速集成到Nuts节点的部署架构中。

3. 使用场景与适用范围

适用场景

• Nuts节点部署中需使用外部密钥存储的场景。
• 需要利用Hashicorp Vault的企业级安全特性（如细粒度访问控制、动态密钥生成、审计日志）管理Nuts节点密钥的场景。

适用范围

• Nuts节点版本需支持外部密钥存储功能（参考Nuts节点文档）。
• 已部署Hashicorp Vault服务器（需启用KV密钥引擎）。

4. 使用方法与配置说明

4.1 环境变量配置

容器通过环境变量进行配置，核心参数如下：

4.2 Docker Run 命令示例

以下命令启动代理服务，连接Vault服务器并监听8080端口：

docker run -d \
  --name nuts-vault-proxy \
  -p 8080:8080 \
  -e VAULT_ADDR="[***]" \
  -e VAULT_TOKEN="s.vault-token-here" \
  -e VAULT_KV_ENGINE_PATH="nuts-secrets" \
  nutsfoundation/hashicorp-vault-proxy

4.3 Docker Compose 配置示例

与Nuts节点、Vault联动的docker-compose.yml示例：

version: '3.8'

services:
  # Hashicorp Vault代理服务
  vault-proxy:
    image: nutsfoundation/hashicorp-vault-proxy
    ports:
      - "8080:8080"
    environment:
      - VAULT_ADDR="[***]"
      - VAULT_TOKEN="s.vault-token-here"
      - VAULT_KV_ENGINE_PATH="nuts-secrets"
    depends_on:
      - vault

  # Nuts节点（需配置外部密钥存储指向代理）
  nuts-node:
    image: nutsfoundation/nuts-node
    command: --secret-store.address=[***]
    depends_on:
      - vault-proxy

  # Hashicorp Vault服务器（开发模式，生产环境需调整配置）
  vault:
    image: hashicorp/vault:latest
    ports:
      - "8200:8200"
    environment:
      - VAULT_DEV_ROOT_TOKEN_ID="s.vault-token-here"
      - VAULT_DEV_LISTEN_ADDRESS="0.0.0.0:8200"
    cap_add:
      - IPC_LOCK

5. 参考链接

• Nuts外部密钥存储文档
• 官方代码仓库
• Nuts secret store API规范