Spring Cloud Vault Kubernetes认证令牌过期无法重认证求助

核心问题分析 #

使用Kubernetes认证时，Vault默认返回Batch类型Token，这类Token不可续期，而Spring Cloud Vault默认的SessionManager不会自动触发重新认证流程，导致Token过期后抛出403权限拒绝错误。

优先检查项 #

• Vault角色的Token类型配置：确认绑定的Kubernetes角色是否设置了token_type=default，Batch类型Token天生不支持续期，这是核心原因之一。
• K8S服务账户（SA）权限：检查SA是否能访问Vault的Kubernetes认证端点（auth/k8s/dap.url.com/login），以及Vault角色是否正确绑定了该SA的名称和命名空间。
• Spring Cloud Vault Session配置：确认是否启用了生命周期感知的SessionManager，以及Token刷新阈值是否合理。

修复方案 #

方案一：修改Vault角色生成可续期Token（推荐） #

登录Vault控制台，更新你的Kubernetes角色配置，指定生成可续期的Default类型Token：

vault write auth/k8s/dap.url.com/role/role \
  bound_service_account_names=<你的SA名称> \
  bound_service_account_namespaces=<你的命名空间> \
  token_type=default \
  token_ttl=1h \
  token_max_ttl=24h

配置后，Spring Cloud Vault的默认SessionManager会自动处理Token续期，无需额外代码修改。

方案二：配置Spring Cloud Vault自动重新认证（适配Batch Token场景） #

如果无法修改Vault角色类型，可通过配置开启Session生命周期管理，让Spring Cloud Vault在Token过期前自动用K8S SA Token重新认证：
在application.yaml中添加以下配置：

spring:
  cloud:
    vault:
      session:
        lifecycle:
          enabled: true
          # Token过期前30秒触发刷新
          refresh-before-expiry: 30s
          # 认定Token即将过期的阈值
          expiry-threshold: 1m

同时确保Spring Cloud Vault能读取到最新的K8S SA Token：默认情况下，/var/run/secrets/kubernetes.io/serviceaccount/token是自动轮换的符号链接，Spring Cloud Vault会在重新认证时重新读取该文件内容。

方案三：自定义Token刷新逻辑 #

如果上述方案不适用，可编写自定义的Token续期逻辑，当检测到Batch Token过期时，主动调用Vault的K8S认证接口获取新Token：

@Component
public class BatchTokenRenewal implements TokenRenewal {

    private final VaultTemplate vaultTemplate;
    private final KubernetesAuthenticationOptions k8sAuthOptions;

    public BatchTokenRenewal(VaultTemplate vaultTemplate, KubernetesAuthenticationOptions k8sAuthOptions) {
        this.vaultTemplate = vaultTemplate;
        this.k8sAuthOptions = k8sAuthOptions;
    }

    @Override
    public boolean renew(VaultToken token) {
        // 检查是否为不可续期的Batch Token
        if (token instanceof LoginToken loginToken && !loginToken.isRenewable()) {
            try {
                // 读取最新的K8S SA Token
                String saToken = Files.readString(Paths.get(k8sAuthOptions.getServiceAccountTokenFile()));
                // 发起K8S认证请求获取新Token
                KubernetesAuthenticationToken authToken = new KubernetesAuthenticationToken(k8sAuthOptions, saToken);
                LoginResponse loginResponse = vaultTemplate.login(authToken);
                // 更新Session中的Token
                vaultTemplate.getSessionManager().getSession().renew(loginResponse.getToken());
                return true;
            } catch (IOException e) {
                throw new VaultException("Failed to read K8S service account token", e);
            }
        }
        // 非Batch Token走默认续期逻辑
        return TokenRenewal.super.renew(token);
    }
}

额外排查点 #

• 检查K8S集群的SA Token轮换机制是否正常，确保/var/run/secrets/kubernetes.io/serviceaccount/token始终是有效的。
• 查看Vault的审计日志，确认403错误的具体触发原因（是Vault Token过期，还是SA Token本身无权限）。

内容的提问来源于stack exchange，提问作者Daniil Baev