确保在应用程序启动时加载Azure KeyVault Secret（node-config）

Question

我有一个使用node-config（ https://www.npmjs.com/package/ppackage/config ）加载应用程序配置。我要做的是将秘密从Azure KeyVault加载到启动过程中的配置，并在需要之前确保它们可用（例如连接到数据库等）。

我毫无疑问地连接到钥匙vault的价值，但是我在JS的非阻滞性质上苦苦挣扎。在配置值已完成加载（异步）到配置之前，应用程序启动过程正在继续。

• 一种策略可能是延迟申请启动，以等待KeyVault Secrets加载在启动时如何在Node的启动过程中等待主要？
• 另一个是不要将它们加载到配置中，而是修改代码，以便使用秘密在哪里通过Promises加载这些秘密来加载这些

，似乎成为一个常见的问题，因此我希望这里的某人可以提供示例或设计模式，以确保在启动过程中加载远程钥匙vault秘密的最佳方式。

事先感谢您的建议。

杆

Answer 1

我现在已经成功解决了这个问题。

要注意的一个关键点是设置process.env ['lesson_config_mutations'] = true;
默认情况下，配置是不变的（初始设置后不能更改它们）。由于异步将在以后解决这些问题，因此必须调整此设置至关重要。否则，您会看到异步配置从密钥库中获得正确的值，但是当您使用config签名时。这确实应添加到

我的解决方案：首先，让我们为azure keystore客户端创建一个模块-Azure-keyvault.mjs：

import { DefaultAzureCredential } from '@azure/identity';
import { SecretClient } from '@azure/keyvault-secrets';

// https://learn.microsoft.com/en-us/azure/developer/javascript/how-to/with-web-app/use-secret-environment-variables
if (
  !process.env.AZURE_TENANT_ID ||
  !process.env.AZURE_CLIENT_ID ||
  !process.env.AZURE_CLIENT_SECRET ||
  !process.env.KEY_VAULT_NAME
) {
  throw Error('azure-keyvault - required environment vars not configured');
}

const credential = new DefaultAzureCredential();

// Build the URL to reach your key vault
const url = `https://${process.env.KEY_VAULT_NAME}.vault.azure.net`;

// Create client to connect to service
const client = new SecretClient(url, credential);

export default client;

in Config（in Config（使用 @node-config）文件（使用 @node-config）文件：

process.env['ALLOW_CONFIG_MUTATIONS']=true;
const asyncConfig = require('config/async').asyncConfig;
const defer = require('config/defer').deferConfig;
const debug = require('debug')('app:config:default');
// example usage debug(`\`CASSANDRA_HOSTS\` environment variable is ${databaseHosts}`);

async function getSecret(secretName) {
  const client = await (await (import('../azure/azure-keyvault.mjs'))).default;
  const secret = await client.getSecret(secretName);
  // dev: debug(`Get Async config: ${secretName} : ${secret.value}`);
  return secret.value
}

module.exports = {
  //note: defer just calculates this config at the end of config generation 
  isProduction: defer(cfg => cfg.env === 'production'),

  database: {
    // use asyncConfig to obtain promise for secret
    username: asyncConfig(getSecret('DATABASE-USERNAME')), 
    password: asyncConfig(getSecret('DATABASE-PASSWORD')) 
  },
...
}

之前解决异步会议

最后修改应用程序启动以在config.get被称为server.js

const { resolveAsyncConfigs } = require('config/async');
const config = require('config');
const P = require('bluebird');

...
function initServer() {
  return resolveAsyncConfigs(config).then(() => {
    // if you want to confirm the async configs have loaded
    // try outputting one of them to the console at this point
    console.log('db username: ' + config.get("database.username"));
    // now proceed with any operations that will require configs
    const client = require('./init/database.js');
    // continue with bootstrapping (whatever you code is)
    // in our case let's proceed once the db is ready
    return client.promiseToBeReady().then(function () {
      return new P.Promise(_pBootstrap);
    });
  });
}

。评论或改进以上欢迎。

〜杆