# 通过IaC分发敏感配置
敏感配置项录入后，需要通过IaC部署后生效变成已发布状态，微服务才能获取。
#### 前提条件
需要具备AppStage服务运维岗位权限或运维管理员权限，权限申请操作请参见[申请权限](https://support.huaweicloud.com/usermanual-appstage/appstage_04_0009.html)。
#### 步骤一：生成敏感配置项坐标
无论通过什么方式获取敏感配置，都需要有一个唯一标识，让STS可以准确查找到敏感配置项，该标识称为"敏感配置项坐标"。
1. [进入AppStage运维中心](https://support.huaweicloud.com/usermanual-wiseeye/appstage_04_0089.html#appstage_04_0089__zh-cn_topic_0000001896253866_zh-cn_topic_0000001785965698_section11734269409)。
2. 在顶部导航栏选择服务。
3. 单击![](https://support.huaweicloud.com/usermanual-wiseeye/zh-cn_image_0000002194400541.png)，选择"安全 \> 访问凭据管理服务"。
4. 选择左侧导航栏的"敏感配置管理"。
5. 勾选需要分发的敏感配置，单击"导出敏感配置ID"，即可生成敏感配置项坐标。 敏感配置项坐标的生成规则为：
   - 服务级别的配置项： Service/{ServiceName}/{name}/{tag}
   
   - 微服务级别的配置项：MicroService/{ServiceName}/{MicroServiceName}/{name}/{tag}
    
 
#### 步骤二：通过IaC发布敏感配置
业务使用Runtime部署并按照IaC规范配置敏感配置项之后，在部署时Runtime会从STS管理台拉取加密配置项，注入到容器的环境变量中，并通过配置渲染工具将敏感配置渲染到业务的配置文件中。
1. 在IaC脚本中的业务配置项配置文件中指定敏感配置项坐标。 
   此处以在config_records.yaml文件中增加一个名为spring.redis.password的敏感配置项为例。
   ```
   spring.redis.password: MicroService/{ServiceName}/{MicroServiceName}/spring.redis.password/default
   ```
   
   
2. 在IaC脚本中的业务配置项属性定义文件中，声明该配置项为敏感配置项。 
   此处以在config_schema.yaml中声明微服务的敏感业务配置项为例。
   ```
   type: object
   properties:
      spring.redis.password:
        format: sensitive
   ```