如何配置Hashicorp Vault策略：仅显示密钥名称而非值

问题核心是混淆了list权限的作用范围：list权限需要作用在包含子密钥的父路径上，而非具体的密钥路径本身。你之前把list加在具体密钥apv/secrets/+/boom上，这个路径是单个密钥节点，没有子资源可列，所以list权限在这里完全无效。

正确的配置思路是拆分路径权限：

• 父路径配置list权限：让用户能列出该路径下的所有密钥名称
• 具体密钥路径仅配置增删改权限：禁止read权限，避免暴露密钥值

正确策略示例 #

# 允许列出目标父路径下的所有密钥名称（匹配apv/secrets/xxx/这类父目录）
path "apv/secrets/+/ {
  capabilities = ["list"]
}

# 允许对具体密钥执行增、删、改操作，但禁止读取值
path "apv/secrets/+/boom" {
  capabilities = ["create", "update", "delete"]
}

验证操作 #

1. 执行vault list apv/secrets/xxx/（替换xxx为实际路径片段）：会返回boom这个密钥名称
2. 执行vault read apv/secrets/xxx/boom：会收到权限拒绝的错误，无法获取密钥值

注意事项 #

• 确保父路径的通配符+或*正确匹配你的密钥目录结构：+匹配单个路径片段，*匹配任意数量的路径片段，根据实际场景选择
• 不要给具体密钥路径添加read或sudo权限，否则会暴露密钥值

内容的提问来源于stack exchange，提问作者TheMask