在Rancher Desktop中使用Pulumi启用Vault审计失败求助

核心错误原因 #

不管是通过Pulumi还是直接在Pod内执行命令，报错的根源都是文件路径的可访问性与容器内权限不匹配，和Vault的API策略无关（你用的Root Token已经拥有最高权限）：

1. Pulumi代码中指定的/Users/...是宿主机路径，Vault Pod的容器内无法直接访问宿主机目录，且容器用户无权限在容器内创建顶级/Users目录
2. 直接在Pod内执行命令时，/var/log目录默认由root用户拥有，而Vault容器默认以vault普通用户运行，无写入权限

具体解决步骤 #

1. 选择Pod内可写入的合法路径 #

使用Vault容器自带的、由vault用户拥有的目录，比如官方镜像默认的/vault/logs；如果需要自定义路径，需提前在Pod配置中创建并修改权限。

2. 修改Pulumi代码 #

删除无用的宿主机文件创建逻辑，替换为Pod内的合法路径：

func (v Vault) EnableAudit(environment string) pulumi.RunFunc {
    program := func(ctx *pulumi.Context) error {
        // 替换为Pod内vault用户可写入的路径
        logPath := "/vault/logs/vault-audit.log"

        provider, err := vault.NewProvider(ctx, "vaultprovider", &v.Vaultprovider)
        if err != nil {
            return err
        }

        _, err = vault.NewAudit(ctx, "vault-audit", &vault.AuditArgs{
            Options: pulumi.StringMap{
                "file_path": pulumi.String(logPath),
            },
            Type:  pulumi.String("file"),
            Local: pulumi.Bool(true),
        }, pulumi.Provider(provider))

        if err != nil {
            return err
        }

        return nil
    }

    return program
}

3. 确保Pod内目录权限正确 #

如果使用自定义目录，需在Vault Deployment配置中添加初始化步骤，确保目录归vault用户所有：

containers:
- name: vault
  image: hashicorp/vault:latest
  command: ["sh", "-c"]
  args:
    - mkdir -p /custom/logs && chown vault:vault /custom/logs && vault server -config=/vault/config/config.hcl
  volumeMounts:
  - name: logs
    mountPath: /custom/logs
volumes:
- name: logs
  emptyDir: {}

4. 正确的Pod内测试命令 #

使用Pod内合法路径测试：

kubectl exec -it vault-0 -n vault -- /bin/sh -c "VAULT_TOKEN=hvs... vault audit enable file file_path=/vault/logs/vault-audit.log"

若仍报错，先检查目录权限：

kubectl exec -it vault-0 -n vault -- ls -ld /vault/logs

确认输出中的所有者为vault:vault。

额外说明 #

• 当Local: pulumi.Bool(true)时，审计日志会存储在单个Vault节点的本地（即Pod内），集群模式下每个节点的日志相互独立；如需集中存储，建议使用syslog、云存储类审计后端，或挂载共享存储到所有Pod的相同路径。

内容的提问来源于stack exchange，提问作者nusantara