HashiCorp Vault Transit密钥公钥读取权限异常排查

核心问题：通过AppRole my-role生成的token仅关联default策略，未继承角色绑定的myapp策略，导致无权限访问Transit密钥接口。

排查与修复步骤 #

1. 验证AppRole角色的策略绑定状态 #

执行命令查看my-role的当前策略配置：

vault read auth/approle/role/my-role

查看输出中的policies字段，确认是否包含myapp。如果没有，执行以下命令重新绑定策略（注意保留default策略，避免基础权限丢失）：

vault write auth/approle/role/my-role policies=default,myapp

2. 确认Transit引擎挂载路径与策略匹配 #

检查Transit引擎的实际挂载路径：

vault secrets list

如果输出中Transit引擎的路径不是transit-local/（比如是transit/），需要同步修改myapp策略的路径规则，确保与实际挂载路径一致。例如：

# 如果引擎挂载路径是transit/，策略要改成
path "transit/*" {
  capabilities = ["read", "update"]
}

更新策略的命令：

vault policy write myapp /path/to/your/myapp-policy.hcl

3. 检查AppRole token生成流程是否正确 #

确保生成token的完整流程无误：

1. 获取role-id：

   vault read auth/approle/role/my-role/role-id
   

2. 生成secret-id：

   vault write -f auth/approle/role/my-role/secret-id
   

3. 用合法的role-id和secret-id登录生成token：

   vault write auth/approle/login role_id=<你的ROLE_ID> secret_id=<你的SECRET_ID>
   

避免直接手动创建token（如vault token create），这种方式不会继承AppRole角色的策略。

4. 校验myapp策略的权限规则 #

查看myapp策略的具体内容：

vault policy read myapp

确保规则覆盖了Transit公钥读取的路径（transit-local/keys/<密钥名>/public），正确的规则示例：

path "transit-local/*" {
  capabilities = ["read", "update"]
}

如果规则范围过窄（比如仅写了transit-local/keys），会导致无法读取子路径的公钥。

5. 检查Vault Agent配置（若使用Agent获取token） #

如果是通过Vault Agent自动获取token，检查Agent配置文件中的auto_auth模块，确保指定了正确的my-role：

auto_auth {
  method "approle" {
    config = {
      role_id_file_path = "/path/to/role-id-file"
      secret_id_file_path = "/path/to/secret-id-file"
    }
  }
}

修改配置后重启Vault Agent，再通过vault token lookup <Agent生成的Token>验证策略是否已正确关联。

内容的提问来源于stack exchange，提问作者Alex 75