自定义数据库插件如何从 dbplugin 版本 4 升级到版本 5接口函数映射与密码生成职责变化【免费下载链接】vaultA tool for secrets management, encryption as a service, and privileged access management项目地址: https://gitcode.com/GitHub_Trending/va/vault如果你的 Vault 自定义数据库插件还基于sdk/database/dbplugin的版本 4 接口开发那么需要处理一个明确的兼容性问题Vault 1.6 引入了全新的数据库插件接口版本 5版本 4 已被标记为弃用deprecated并将在某个未来版本中移除支持。同时版本 5 的插件无法运行在 Vault 1.6 之前的版本上。这篇文章依据 sdk/database/dbplugin/README.md 给出的升级说明覆盖两件事版本 4 到版本 5 的接口函数如何一一映射以及密码生成职责从插件转移到 Vault 后你的插件代码要做哪些对应修改。先判断你的插件是版本 4 还是版本 5在动手改代码之前README 给出了两个判断依据可以对照你的插件确认当前使用的接口版本导入路径不同。版本 4 的导入路径是github.com/hashicorp/vault/sdk/database/dbplugin版本 5 的导入路径是github.com/hashicorp/vault/sdk/database/dbplugin/v5。函数集合不同。README 列出的版本 4 函数为Initialize、Init、CreateUser、RenewUser、RevokeUser、SetCredentials、RotateRootCredentials、Type和Close完整函数签名可查阅 sdk/database/dbplugin/plugin.go。版本 5 的函数为Initialize、NewUser、UpdateUser、DeleteUser、Type和Close完整签名在 sdk/database/dbplugin/v5/database.go。注意版本边界Vault 1.6 同时支持版本 4 和版本 5 的插件所以升级插件后你的环境只需满足 Vault 1.6 或更高版本即可反过来版本 5 插件在 Vault 1.6 之前不会工作。如果你的集群里还跑着 1.6 之前的 Vault插件升级必须等 Vault 升级之后。版本 4 到版本 5 的接口函数映射版本 5 接口是对版本 4 的重写而不是叠加。核心变化是原来承担多种职责的多个函数被合并进少数几个函数每个函数改为接收一个请求对象、返回一个响应对象README 说明这一设计参考了 gRPC 接口未来在请求或响应中增加数据时无需再修改接口定义。对照 plugin.go 与 v5/database.go映射关系如下版本 4 函数版本 5 函数变化说明Init以及InitializeInitializeInit原来接收的config和verifyConnection参数被包装进InitializeRequest原来返回的map[string]interface{}被包装进InitializeResponseCreateUserNewUserNewUserRequest中包含用户名、密码以及创建用户的语句列表等字段SetCredentials、RotateRootCredentials、RenewUserUpdateUser三个函数合并为一个通过请求对象中的字段区分操作RevokeUserDeleteUser要删除的用户名封装在DeleteUserRequest中Type、CloseType、Close名称不变UpdateUser的合并方式值得单独说明因为它是改动量最大的部分。UpdateUserRequest包含三个部分要修改的用户名、一个ChangePassword对象和一个ChangeExpiration对象。README 给出的判断规则是当某个对象字段不为 nil 时表示该字段密码或过期时间需要变更。例如ChangePassword不为 nil应修改用户密码等价于原来调用SetCredentialsChangeExpiration不为 nil应修改用户过期时间等价于原来调用RenewUser。README 同时指出很多数据库实际上不需要对更新后的过期时间做任何处理因此ChangeExpiration分支在你的插件里可以是空操作。密码生成职责的变化这是升级中最关键、也最容易出错的一点。README 明确指出在版本 4 中生成密码是插件自身的职责在版本 5 中由 Vault 负责生成密码并通过NewUserRequest.Password和UpdateUserRequest.Password.NewPassword把密码传给插件。这对代码的影响是实现NewUser时插件必须使用请求中携带的密码来创建用户而不能自己生成一个README 警告如果你仍然自己生成密码Vault 不知道这个密码最终会把错误的密码交给调用方。从 v5/database.go 的请求定义可以看到对应字段NewUserRequest.Password在凭证类型为CredentialTypePassword时携带 Vault 生成的密码UpdateUserRequest.Password是*ChangePassword类型其NewPassword字段携带新密码为 nil 时表示不请求修改密码。执行升级的步骤README 给出的基本升级步骤如下按顺序完成即可修改导入路径。把github.com/hashicorp/vault/sdk/database/dbplugin改为github.com/hashicorp/vault/sdk/database/dbplugin/v5。包名不变因此对dbplugin的引用例如Serve函数可以保留前提是这些符号在新包中仍然存在。注意两个版本的Serve签名不同版本 4 是Serve(db Database, tlsProvider func() (*tls.Config, error))见 sdk/database/dbplugin/server.go版本 5 是Serve(db Database)见 sdk/database/dbplugin/v5/plugin_server.go调用处需要同步去掉 TLS provider 参数。加一行接口检查代码。在你插件的包内添加如下全局变量var _ dbplugin.Database (*MyDatabase)(nil)其中MyDatabase替换为你的数据库实现类型。这一行会让编译器强制检查你的类型是否完整实现dbplugin.Database接口——只要还有函数没改到位代码就会编译失败从而直接暴露出还需要迁移的函数。替换初始化函数。把Init和Initialize替换为新的Initialize函数定义原来Init接收的config和verifyConnection参数现在位于InitializeRequest中对应字段Config和VerifyConnection原来返回的map[string]interface{}现在包装为InitializeResponse需在其Config字段中返回要保存的配置该字段是初始化后保存配置到 Vault 所必需的。接口实现上只需要这一个Initialize。把CreateUser更新为NewUser。NewUserRequest包含要创建用户的用户名和密码以及创建用户的语句列表和其他可能适用的字段。如前所述插件应使用请求中提供的密码而不是自行生成。把SetCredentials、RotateRootCredentials、RenewUser合并为UpdateUser。按ChangePassword、ChangeExpiration字段是否为 nil 来决定执行密码修改还是过期时间修改。把RevokeUser更新为DeleteUser。这是最简单的改动要删除的用户名封装在DeleteUserRequest对象中。验证升级结果文档给出的验证手段是编译期检查保留第 2 步的var _ dbplugin.Database (*MyDatabase)(nil)这行代码当它能通过编译时说明你的类型已经完整实现了版本 5 的Database接口Initialize、NewUser、UpdateUser、DeleteUser、Type、Close。如果编译失败报错信息会指出尚未迁移的函数。功能层面仓库中 sdk/database/dbplugin/v5/testing/test_helpers.go 提供了针对版本 5 接口的测试辅助函数如AssertNewUser、AssertUpdateUser、AssertDeleteUser等如果你的插件项目中有数据库集成测试可以参照这些辅助函数对新的请求/响应对象编写或改写测试。限制与边界版本 4 已被弃用支持将在未来版本中移除README 强烈建议尽快升级版本 5 插件只在 Vault 1.6 及以上可用升级插件前先确认 Vault 版本迁移后的密码生成逻辑不可回退NewUser和UpdateUser都必须使用 Vault 传入的密码值自行生成的密码会导致调用方拿到错误密码UpdateUserRequest中的SelfManagedPassword字段标注为 enterprise-only见 v5/database.go社区版升级场景无需处理。【免费下载链接】vaultA tool for secrets management, encryption as a service, and privileged access management项目地址: https://gitcode.com/GitHub_Trending/va/vault创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考