嘗試使用 GCP IAM 身份驗證從 Vault 讀取機密時出現 403 權限被拒絕

Question

我正在使用 GCP IAM 身份驗證方法對保管庫進行身份驗證。 我按照vault gcp auth 中建議的步驟使用服務帳戶進行身份驗證

我能夠成功進行身份驗證和登錄。 但是當我嘗試從指定路徑讀取機密時，它說權限被拒絕。

$vi test-policy.hcl

path "secret/test/*" {
     capabilities = ["read"]
}

我為我的服務帳戶分配了以下角色。

1. 服務帳戶管理員
2. 服務帳戶密鑰管理員
3. 服務帳戶令牌創建者

vault kv get secret/test/awskeys
Error reading secret/data/test/awskeys: Error making API request.

URL: GET http://127.0.0.1:8200/v1/secret/data/test/awskeys
Code: 403. Errors:

* 1 error occurred:
* permission denied

我在使用 spring-cloud-vault 應用程序時也遇到了同樣的問題。 我是否錯過了分配給此服務帳戶的任何角色，或者我是否設置了錯誤的策略？

注意：Vault 服務器是在 AWS 上設置的。

Answer 1

這是政策設置。 我將它更新到下面並且它起作用了！ 特定路徑而不是 *.

path "secret/data/test/awskeys" {
  capabilities = ["read"]
}