Spring Boot 3.2.X访问命名空间下Hashicorp Vault密钥遇403权限拒绝

在Spring Boot 3.2.2 + Spring Cloud Config 2023.0.2应用中访问HashiCorp Vault密钥时，遇到403权限拒绝错误：

org.springframework.vault.VaultException: Status 403 Forbidden [secret/secret]: permission denied

不清楚为何请求路径是secret/secret。组织的Vault使用命名空间，application.yml配置如下：

spring.cloud.vault.uri=https://vault-qa-aws.xxxx.com 
spring.cloud.vault.token=secret token
spring.cloud.vault.generic.backend=kv_1
spring.cloud.vault.kv.default-context=secret
spring.cloud.vault.namespace=xxxxxxxx
#spring.cloud.vault.kv.application-name=${path}
logging.level.root=DEBUG
spring.config.import:  vault://

补充说明：正确的API访问路径应为 /v1/US/AWS/APXXXXXX/kv_1/data/secret。

尝试执行CLI命令：

vault kv-get -namespace=US/AWS/APxxxxxxxxx_Q -mount="kv_1" "secret"

返回错误：

Error reading secret: secret.
URL: /v1/secret/data/undefined
Code: 403
错误信息：发生1个错误：* permission denied

核心问题 #

1. 配置项混用导致路径错误：同时配置了generic和kv相关参数，Spring Cloud Vault生成路径时出现冲突，产生secret/secret的异常路径。
2. CLI命令参数使用错误：kv-get的参数格式不符合KV引擎的路径规则，导致请求路径错误。

具体修正步骤 #

1. 调整Spring Boot配置 #

因为使用的是KV v1引擎（从正确路径kv_1/data/secret可判断），需统一使用kv系列配置，移除generic配置项，修正后的application.yml：

spring.cloud.vault.uri=https://vault-qa-aws.xxxx.com 
spring.cloud.vault.token=your-actual-secret-token
spring.cloud.vault.kv.enabled=true
spring.cloud.vault.kv.backend=kv_1
spring.cloud.vault.kv.default-context=secret
spring.cloud.vault.namespace=US/AWS/APXXXXXX  # 替换为实际正确的命名空间
logging.level.root=DEBUG
spring.config.import: vault://

• 移除spring.cloud.vault.generic.backend，改用spring.cloud.vault.kv.backend匹配KV引擎配置
• 确保spring.cloud.vault.namespace配置为实际的命名空间US/AWS/APXXXXXX
• 显式开启spring.cloud.vault.kv.enabled=true，避免版本兼容问题

2. 修正Vault CLI命令 #

KV v1引擎的正确读取命令格式如下：

vault kv get -namespace=US/AWS/APxxxxxxxxx_Q kv_1/secret

• 无需使用-mount参数，直接以<backend>/<secret-path>的格式指定路径
• KV v1引擎的路径规则为backend/secret-path，不同于v2的backend/data/secret-path

3. 验证Token权限 #

确认使用的Vault Token在目标命名空间下具备对应路径的读取权限，可执行以下命令验证：

vault token capabilities -namespace=US/AWS/APXXXXXX kv_1/secret

若返回结果不包含read，则需要联系Vault管理员调整ACL策略。

内容的提问来源于stack exchange，提问作者souvikc