通过HashiCorp Vault远程创建MySQL用户时提示'Unsupported operation'的问题排查求助

看起来你已经把Vault和MySQL的基础配置流程走了一遍，但卡在远程生成数据库凭证这一步了，我帮你梳理几个值得排查的方向：

1. 确认数据库插件是否正确可用 #

你配置时用的是mysql-database-plugin，首先要确认这个插件在你的Vault实例里是正常加载的。在Vault所在的VM上运行：

vault plugin list database

看看输出里有没有这个插件。如果是用-dev模式启动的Vault，默认应该包含常用数据库插件，但不同Vault版本可能有插件名称的调整（比如某些版本里MySQL插件叫mysql-legacy-database-plugin），可以对照你用的Vault版本确认插件名称是否正确。

2. 检查数据库连接配置的有效性 #

你执行了vault write -force database/rotate-root/mydb之后，Vault已经自动修改了vaultuser的密码，这时候要确保Vault本身能正常连接到MySQL。可以先尝试跳过root密码旋转的步骤，重新配置数据库连接：

vault write database/config/mydb \
  plugin_name=mysql-database-plugin \
  connection_url="{{username}}:{{password}}@tcp(100.101.102.103:3306)/" \
  allowed_roles="vault-role" \
  username="vaultuser" \
  password="vaultpass"

注意这里把connection_url里的/mydb去掉了（或者先确认mydb数据库确实存在），然后再尝试生成凭证，看是否还报错。如果这时候能正常生成，那可能是旋转root密码后Vault连接数据库出现了问题。

3. 验证角色的创建语句是否符合MySQL版本要求 #

你的角色创建语句是：

CREATE USER '{{name}}'@'%' IDENTIFIED BY '{{password}}';
GRANT SELECT ON *.* TO '{{name}}'@'%';

如果你的MySQL是8.0及以上版本，默认的认证插件是caching_sha2_password，部分旧版本的Vault MySQL插件对这个支持可能有问题，可以尝试在创建用户时指定兼容的插件：

CREATE USER '{{name}}'@'%' IDENTIFIED WITH mysql_native_password BY '{{password}}';
GRANT SELECT ON *.* TO '{{name}}'@'%';

另外，也要确保语句里的变量占位符{{name}}和{{password}}没有拼写错误。

4. 确认API请求的权限和路径正确性 #

虽然你用的是root token（dev模式下默认拥有全部权限），但可以验证一下这个token是否有操作database/creds/vault-role的权限：

vault token capabilities hvs.ROOTTOKEN database/creds/vault-role

正常输出应该包含create权限。另外，你的curl请求路径和方法是正确的，但可以尝试在Vault所在VM本地执行这个curl请求，排除网络层面的问题：

curl -X POST -H "X-Vault-Token: hvs.ROOTTOKEN" http://127.0.0.1:8200/v1/database/creds/vault-role

如果本地请求正常，那可能是远程机器到Vault的网络有额外限制。

5. 查看Vault服务器日志获取详细错误信息 #

你看到的unsupported operation是比较笼统的错误，Vault的控制台日志（dev模式下直接输出在终端）里应该有更详细的报错细节，比如是插件调用失败、数据库连接超时，还是角色配置不符合要求。仔细查看日志内容，会帮你快速定位到具体问题。

备注：内容来源于stack exchange，提问作者user10931326