通过AWS IAM登录Vault时遭遇X-Vault-AWS-IAM-Server-ID头验证失败

错误信息 #

com.bettercloud.vault.VaultException: Vault responded with HTTP status code: 400
Response body:

{
  "errors": [
    "error validating X-Vault-AWS-IAM-Server-ID header: expected \"dev.vault-shared.com\" but got \"vault-dev.yourcompany.io\""
  ]
}

at com.bettercloud.vault.api.Auth.loginByAwsIam(Auth.java:892)

错误原因 #

Vault开启了X-Vault-AWS-IAM-Server-ID头验证机制，你的请求中该头字段的值为vault-dev.yourcompany.io，但Vault后端配置的预期值是dev.vault-shared.com，两者不匹配导致验证失败。这个验证用于防范服务器端请求伪造（SSRF）攻击，确保请求确实指向目标Vault实例。

解决办法 #

• 调整客户端请求的Server-ID值
  使用bettercloud的Vault Java客户端时，调用loginByAwsIam方法需指定正确的serverId参数，示例代码如下：

  Auth auth = vault.auth();
  AwsIamLoginOptions loginOptions = new AwsIamLoginOptions()
          .serverId("dev.vault-shared.com") // 匹配Vault配置的预期值
          .role("your-aws-iam-role") // 替换为实际IAM角色
          .iamHttpRequestMethod("POST")
          .iamRequestUrl("https://sts.amazonaws.com/")
          // 补充其他必要参数
          ;
  auth.loginByAwsIam(loginOptions);
  

• 通过配置文件/环境变量指定Server-ID
  如果客户端依赖环境变量或配置文件读取参数，设置VAULT_AWS_IAM_SERVER_ID环境变量为dev.vault-shared.com，确保客户端发起请求时自动携带正确的头信息。

• 禁用Vault端的Server-ID验证（仅测试环境）
  若为测试环境且无需该安全验证，可修改Vault的AWS auth后端配置关闭验证：

  vault write auth/aws/config/client server_id_required=false
  

  注意：生产环境禁止关闭该验证，会降低Vault实例的安全性。

内容的提问来源于stack exchange，提问作者sreemanth pulagam