Vault令牌续期异常咨询：续期后TTL与过期时间未增长

核心原因 #

Vault中令牌的总生命周期上限由creation_ttl或explicit_max_ttl决定，而非每次续期可叠加指定时长。你的令牌存在两个关键限制：

• 令牌的explicit_max_ttl为0s，这意味着它的总生命周期被严格限制在签发时的creation_ttl=9000h——即从签发时间（2023-05-10）起算，无论多少次续期，最终过期时间都不会超过2024-05-19。
• 你执行tune命令修改的是token认证方法的默认TTL配置，仅对后续新创建的令牌生效，已存在的令牌不会继承该修改。

续期时收到的警告里，effective max_ttl是当前时间到令牌初始过期时间的剩余时长，所以续期请求的9000h会被自动截断为这个剩余值，自然无法延长过期时间。

解决方案 #

1. 重新生成支持续期叠加的令牌 #

创建令牌时显式指定explicit_max_ttl，让令牌的总生命周期允许达到9000h，且每次续期可延长至该上限：

vault token create -policy=spring_cloud -ttl=9000h -explicit-max-ttl=9000h

• -ttl：设置令牌的初始TTL（从签发到首次需要续期的时长）
• -explicit-max-ttl：设置令牌的总生命周期上限（从签发到最终过期的最长时长）

2. 验证新令牌的续期行为 #

生成新令牌后，执行续期命令：

vault token renew -increment=9000h

此时只要令牌仍在有效期内，续期会将TTL重置为9000h，过期时间也会相应后延（始终保持从当前时间起算9000h，不超过总生命周期上限）。

3. 调整默认配置（可选） #

如果希望后续创建的令牌默认都支持该规则，可以再次调整token认证方法的配置：

vault write sys/auth/token/tune max_lease_ttl=9000h default_lease_ttl=9000h

注意：此修改仅影响新令牌，已存在的令牌需重新生成才能应用新规则。

内容的提问来源于stack exchange，提问作者Oleksii K