第 14 章 使用密码库获取 secret

所有内置供应商都支持关键解析器的配置。密钥解析器实施算法或策略，将域名称与从 ${vault.key} 表达式获取的键组合到用于从密码库检索 secret 的最终条目名称。Red Hat build of Keycloak 使用 keyResolvers 属性来配置供应商使用的解析器。该值是一个以逗号分隔的解析器名称列表。files-plaintext 供应商配置示例如下：

kc.[sh|bat] start --spi-vault-file-key-resolvers=REALM_UNDERSCORE_KEY,KEY_ONLY

kc.[sh|bat] start --spi-vault-file-key-resolvers=REALM_UNDERSCORE_KEY,KEY_ONLY

解析器按照您在配置中声明的顺序运行。对于每个解析器，红帽构建的 Keycloak 使用解析器生成的最后一个条目名称，它将 realm 与 vault 键相结合来搜索 vault 的 secret。如果红帽构建的 Keycloak 找到 secret，它会返回 secret。如果没有，红帽构建的 Keycloak 将使用下一个解析器。这个搜索将继续，直到红帽构建的 Keycloak 找到非空 secret 或没有解析器运行。如果红帽构建的 Keycloak 没有找到 secret，红帽构建的 Keycloak 会返回一个空的 secret。

在上例中，红帽构建的 Keycloak 首先使用 REALM_UNDERSCORE_KEY 解析器。如果红帽构建的 Keycloak 在使用该解析器的 vault 中有一个条目，则红帽构建的 Keycloak 会返回该条目。如果没有，红帽构建的 Keycloak 会再次使用 KEY_ONLY 解析器进行搜索。如果红帽构建的 Keycloak 使用 KEY_ONLY 解析器查找条目，红帽构建的 Keycloak 会返回该条目。如果红帽构建的 Keycloak 使用所有解析器，Red Hat build of Keycloak 会返回空 secret。

当前可用的解析器列表如下：

如果您还没有为内置提供程序配置解析器，红帽构建的 Keycloak 选择 REALM_UNDERSCORE_KEY。