Puppetserver访问Vault始终被拒绝问题排查

背景 #

在个人WSL环境中，我为Vault实例创建了带有对应策略的新Token，可正常获取密钥。但在Puppetserver上使用该新Token通过Vault获取密钥时，始终返回权限拒绝。

示例curl命令：

curl --insecure -H "X-Vault-Request: true" -H "X-Vault-Token: my.token" https://vault.server.com:8200/v1/path/to/secret/data/secret

疑问 #

为何该新Token在其他服务器正常，仅在Puppetserver上失效？Vault服务器是否存在缓存阻止Puppetserver的请求？注：更换Token前，Puppetserver可正常获取密钥。

• Puppetserver的Token配置未更新：检查Puppetserver存储Vault Token的位置（比如配置文件、环境变量、Puppet Hiera数据），确认是否仍在使用旧Token。更换Token后服务端配置未同步是这类问题的常见原因。
• Puppetserver端的Vault客户端缓存：Puppetserver上的Vault客户端可能缓存了旧的权限信息或无效Token，重启Puppetserver服务，清空客户端相关缓存（比如Vault CLI缓存目录、Puppet集成的Vault插件缓存）。
• Token的IP绑定限制：确认新创建的Token是否设置了bound_cidrs、bound_ips等规则，限制了仅特定IP可使用该Token，而Puppetserver的IP不在允许范围内。可通过vault token lookup my.token在Vault服务器上查看Token的绑定属性。
• Vault服务器的IP级ACL限制：检查Vault服务器是否对Puppetserver的IP新增了防火墙规则或Vault自身的auth/token策略限制，导致请求被拦截。
• Vault策略缓存：Vault会短暂缓存策略评估结果（默认几秒到几分钟），可等待缓存过期，或手动触发Vault刷新策略缓存，再测试Puppetserver的请求。
• SSL配置差异：虽然curl用了--insecure跳过证书校验，但Puppetserver的Vault客户端可能未禁用证书校验，或存在证书链不完整的问题，导致请求失败被误报为权限拒绝，检查Puppetserver的Vault客户端SSL配置。

内容的提问来源于stack exchange，提问作者rook