Hashicorp Vault中新建令牌与根令牌无法互见密钥问题咨询

这是Vault的设计特性，而非bug——Cubbyhole是每个令牌专属的隔离私密空间，哪怕是根令牌也无权访问其他令牌的Cubbyhole数据，具体原因如下：

1. Cubbyhole的核心设计逻辑 #

Cubbyhole引擎的本质是和单个令牌绑定的临时存储，每个令牌的cubbyhole/*路径都是完全独立的命名空间：

• 只有持有该令牌的主体才能读写自己的Cubbyhole数据
• 任何其他令牌（包括根令牌）都无法跨令牌访问Cubbyhole内容
• 这个设计是为了保障令牌持有者的隐私，防止高权限令牌随意窥探低权限令牌的私有配置或临时数据

2. 对应你的操作场景 #

你创建的新令牌在cubbyhole/*下写入的数据，只会存储在该令牌专属的Cubbyhole空间中：

• 根令牌的Cubbyhole是另一个独立空间，自然无法看到新令牌的Cubbyhole内容
• 如果用新令牌在kv/*路径下写入数据（假设补充写入权限），根令牌是可以正常查看的——因为KV是全局共享的秘密引擎，而非令牌专属空间

补充：如何实现跨令牌数据共享 #

如果需要让多个令牌访问同一份数据，不要使用Cubbyhole，应该选择：

• 通用KV秘密引擎（如你的kv/*路径）
• 命名空间（Namespace）
• 其他支持全局访问的秘密引擎

附你提供的策略与操作命令 #

自定义策略（my_policy）

path "cubbyhole/*" {
    capabilities = ["create", "read", "update", "delete", "list"]
}

path "kv/*" {
  capabilities = ["read"]
}

创建新令牌的CLI命令

$ vault token create -policy=my_policy                                                                      
Key                  Value
---                  -----
token                hvs.CAESIDXlXz-Gd....FnZFVmMlM
token_accessor       aiqjgtBPCA...Vd4sFX9Fpg
token_duration       768h
token_renewable      true
token_policies       ["default" "my_policy"]
identity_policies    []
policies             ["default" "my_policy"]

内容的提问来源于stack exchange，提问作者Daniel Stephens