使用SPIFFE JWT与HashiCorp Vault实现无密码认证

SPIFFE (Secure Production Identity Framework For Everyone) 和 HashiCorp Vault 结合可以实现强大的无密码认证系统。下面我将介绍如何使用SPIFFE JWT与Vault实现这一目标。

核心概念

1. SPIFFE JWT：SPIFFE标准定义的JWT格式的身份令牌
2. Vault JWT Auth方法：Vault支持JWT认证的后端
3. SPIRE：SPIFFE参考实现，用于颁发工作负载身份

实现步骤

1. 配置SPIRE服务器

首先需要部署SPIRE服务器来颁发SPIFFE JWT令牌。

// 示例SPIRE客户端代码，获取JWT令牌
package main

import (
	"context"
	"fmt"
	"log"

	"github.com/spiffe/go-spiffe/v2/workloadapi"
)

func fetchJWTToken() (string, error) {
	// 连接到SPIRE Agent的Workload API
	client, err := workloadapi.New(context.Background(), 
		workloadapi.WithAddr("unix:///tmp/spire-agent/public/api.sock"))
	if err != nil {
		return "", fmt.Errorf("无法连接到Workload API: %v", err)
	}
	defer client.Close()

	// 获取JWT令牌
	jwt, err := client.FetchJWTSVID(context.Background(), 
		workloadapi.JWTSVIDRequest{
			Audience: []string{"vault.example.com"},
		})
	if err != nil {
		return "", fmt.Errorf("获取JWT SVID失败: %v", err)
	}

	return jwt.Token, nil
}

func main() {
	token, err := fetchJWTToken()
	if err != nil {
		log.Fatalf("获取JWT令牌失败: %v", err)
	}
	
	fmt.Printf("获取的JWT令牌: %s\n", token)
}

2. 配置Vault JWT认证方法

在Vault中启用并配置JWT认证方法：

vault auth enable jwt

vault write auth/jwt/config \
    jwt_validation_pubkeys=@spire-jwt.pem \
    bound_issuer="spiffe://example.org"

3. 创建Vault角色

vault write auth/jwt/role/demo \
    role_type="jwt" \
    bound_audiences="vault.example.com" \
    user_claim="sub" \
    bound_subject="spiffe://example.org/ns/default/sa/default" \
    policies="default" \
    ttl=1h

4. Go客户端认证代码

package main

import (
	"context"
	"encoding/json"
	"fmt"
	"log"
	"net/http"
)

type vaultLoginRequest struct {
	Role string `json:"role"`
	JWT  string `json:"jwt"`
}

type vaultLoginResponse struct {
	Auth struct {
		ClientToken string `json:"client_token"`
	} `json:"auth"`
}

func loginToVault(jwtToken string) (string, error) {
	url := "http://vault-server:8200/v1/auth/jwt/login"
	
	reqBody, err := json.Marshal(vaultLoginRequest{
		Role: "demo",
		JWT:  jwtToken,
	})
	if err != nil {
		return "", fmt.Errorf("编码请求体失败: %v", err)
	}

	resp, err := http.Post(url, "application/json", bytes.NewBuffer(reqBody))
	if err != nil {
		return "", fmt.Errorf("Vault登录请求失败: %v", err)
	}
	defer resp.Body.Close()

	if resp.StatusCode != http.StatusOK {
		return "", fmt.Errorf("Vault返回非200状态码: %d", resp.StatusCode)
	}

	var loginResp vaultLoginResponse
	if err := json.NewDecoder(resp.Body).Decode(&loginResp); err != nil {
		return "", fmt.Errorf("解析Vault响应失败: %v", err)
	}

	return loginResp.Auth.ClientToken, nil
}

func main() {
	// 获取SPIFFE JWT令牌
	jwtToken, err := fetchJWTToken()
	if err != nil {
		log.Fatalf("获取JWT令牌失败: %v", err)
	}

	// 使用JWT登录Vault
	vaultToken, err := loginToVault(jwtToken)
	if err != nil {
		log.Fatalf("Vault登录失败: %v", err)
	}

	fmt.Printf("成功获取Vault令牌: %s\n", vaultToken)
}

安全注意事项

1. 令牌有效期：确保JWT令牌有合理的短有效期
2. 绑定约束：在Vault角色中配置严格的绑定约束(bound_subject, bound_audiences等)
3. 传输安全：始终使用HTTPS/TLS保护通信
4. 权限最小化：遵循最小权限原则分配Vault策略

扩展功能

1. 动态秘密：结合Vault的动态秘密功能，实现自动化的秘密管理
2. SPIRE代理：在生产环境中使用SPIRE代理来简化工作负载注册
3. 审计日志：启用Vault审计日志记录所有认证事件

这种基于SPIFFE和Vault的无密码认证方案特别适合云原生环境，能够为微服务提供安全、可扩展的身份认证机制。