如何查询Vault中AppRoleId允许访问的可用端点及权限范围？

因为你的token没有访问/sys/policy的权限，无法直接查看策略内容，可通过以下方式确认权限范围：

1. 查看当前token的基本信息 #

先确认token绑定的策略和元数据，执行命令：

vault token lookup

输出里的policies字段会和你登录时返回的一致，确认绑定的是default和xx-cred-policy。

2. 检查特定端点的权限 #

用vault token capabilities命令直接查询token对某个路径的权限，这是最直接的验证方式：

检查能否创建新AppRole #

AppRole的创建路径通常为auth/approle/role/<新角色名>，执行：

vault token capabilities auth/approle/role/test-new-role

如果输出包含create或update，说明你可以创建新的AppRole；若输出为deny则无此权限。

检查可写入的Secret端点 #

针对Secret引擎的路径，比如通用Secret引擎的secret/路径，执行：

# 检查Secret根路径的权限
vault token capabilities secret/*
# 或检查具体子路径的权限
vault token capabilities secret/my-app/*

输出中的create、update、delete权限对应可写入/修改/删除操作，read代表只读权限。

3. 批量排查权限（可选） #

如果需要批量检查多个路径，可以编写简单脚本遍历可能的端点，示例：

#!/bin/bash
paths=(
  "auth/approle/role/*"
  "secret/*"
  "kv/*"
  # 可添加你需要排查的其他路径
)
for path in "${paths[@]}"; do
  echo "权限检查路径: $path"
  vault token capabilities "$path"
  echo "---"
done

执行脚本即可批量获取各路径的权限情况。

内容的提问来源于stack exchange，提问作者Kokizzu