Kubernetes上Spring Boot应用访问Vault密钥引擎权限拒绝问题排查

核心问题分析 #

你遇到的是Spring Boot应用通过Kubernetes角色访问Vault KV2密钥引擎时的权限拒绝错误，虽能连通Vault服务，但权限校验失败。以下是具体排查点和解决方法：

1. 验证Vault Kubernetes Auth角色的ServiceAccount绑定 #

你的Deployment未指定serviceAccountName，Pod默认使用所在Namespace的default ServiceAccount。需确认Vault中simple-test角色是否正确绑定该SA：

• 执行命令查看角色配置：

  vault read auth/kubernetes/role/simple-test
  

• 检查输出中的bound_service_account_names是否包含default，bound_service_account_namespaces是否匹配应用所在Namespace（你的K8s Secrets配置指定了app Namespace，需确认Pod实际部署在该Namespace）。
• 若绑定的不是default，需修改Deployment添加指定ServiceAccount：

  spec:
    serviceAccountName: your-target-sa
  

2. 确认Vault策略路径与实际访问路径匹配 #

你的策略路径kv/data/my-app符合KV2引擎格式，但需注意：

• 用vault secrets list确认KV引擎确实挂载在kv路径下。
• Spring Cloud Vault默认使用KV1格式，若未显式指定KV2版本，会生成错误路径（kv/my-app）触发权限拒绝，需在配置中添加版本指定：

  spring:
    cloud:
      vault:
        kv:
          enabled: true
          backend: kv
          version: 2  # 新增此行指定KV2版本
          profile-separator: /
          application-name: my-app
  

3. 测试ServiceAccount令牌的Vault认证有效性 #

你提到Pod中的令牌与Vault内不同是正常现象——Kubernetes的ServiceAccount令牌为短期动态生成，Vault仅验证令牌签名和绑定关系，不会存储令牌。可在Pod内手动测试定位问题：

1. 发起Vault认证：

   curl -H "Authorization: Bearer $(cat /var/run/secrets/kubernetes.io/serviceaccount/token)" http://vault.vault:8200/v1/auth/kubernetes/login
   

   返回auth字段则认证成功，若返回错误需根据提示排查（如令牌无效、角色不匹配）。
2. 用返回的Vault客户端令牌测试密钥访问：

   VAULT_TOKEN=$(curl -s -H "Authorization: Bearer $(cat /var/run/secrets/kubernetes.io/serviceaccount/token)" http://vault.vault:8200/v1/auth/kubernetes/login | jq -r '.auth.client_token')
   curl -H "Authorization: Bearer $VAULT_TOKEN" http://vault.vault:8200/v1/kv/data/my-app
   

   根据返回错误判断是权限问题还是路径问题。

4. 检查Spring Cloud Vault配置细节 #

• 确认spring.cloud.vault.kubernetes.role配置的simple-test是Vault中存在的角色。
• 核对spring.cloud.vault.uri是否正确：你配置的http://vault.vault:8200对应Vault Service在vault Namespace下，需确认该Service存在且可访问。

5. 验证密钥路径存在性 #

确认Vault中kv/data/my-app路径真实存在，执行：

vault kv get kv/my-app

若返回密钥数据则路径正确，若提示不存在需先创建该路径的密钥。

内容的提问来源于stack exchange，提问作者user2503849