Hashicorp Vault KV v2权限异常：配置策略后无法访问密钥

问题根源分析 #

你的策略存在三个关键问题：

1. 通配符覆盖范围不足：策略中使用secret/data/dev/team-1/*和secret/metadata/dev/team-1/*，仅匹配dev/team-1下的子路径，但你实际创建的密钥是在dev/team-1路径本身（对应API路径secret/data/dev/team-1），该路径不在当前策略的权限范围内。
2. List操作路径不匹配：执行vault kv list secret/dev/team-1时，Vault实际访问的是secret/metadata/dev/team-1路径，而你的策略仅授权了secret/metadata/dev/team-1/*的list权限，未包含父路径。
3. 错误的密钥访问命令：你执行vault kv get secret/dev/team-1/key是错误的——secret/dev/team-1下的key是密钥内的字段，而非子路径，正确命令应为vault kv get secret/dev/team-1。

排查步骤 #

1. 验证当前令牌权限：
   执行以下命令确认令牌对目标路径的实际权限：

   vault token capabilities hvs.CAESIDoYx7LfFWXh9p3KJ_CqyDQSQgQvPONeXpU4jcek-bt5Gh4KHGh2cy4zTjZUbGRKeUY3MkpweW52aDVWV0RvS3A secret/data/dev/team-1
   vault token capabilities hvs.CAESIDoYx7LfFWXh9p3KJ_CqyDQSQgQvPONeXpU4jcek-bt5Gh4KHGh2cy4zTjZUbGRKeUY3MkpweW52aDVWV0RvS3A secret/metadata/dev/team-1
   

   预期结果会显示deny，说明当前策略未覆盖这些路径。

2. 确认KV引擎路径规则：
   KVv2的操作路径固定为：数据读写对应secret/data/前缀，元数据/列表操作对应secret/metadata/前缀，需严格匹配层级。

修复方案 #

更新dev策略，将dev/team-1父路径及子路径的权限都包含进去：

path "secret/data/dev/team-1" {
  capabilities = ["create", "update", "read"]
}

path "secret/data/dev/team-1/*" {
  capabilities = ["create", "update", "read", "list"]
}

path "secret/metadata/dev/team-1" {
  capabilities = ["list", "read"]
}

path "secret/metadata/dev/team-1/*" {
  capabilities = ["list", "read"]
}

执行以下命令更新策略：

vault policy write dev <策略文件路径>

验证修复 #

1. 重新执行正确的密钥读取命令：

   vault kv get secret/dev/team-1
   

   应能正常返回密钥内容。
2. 执行列表命令（若dev/team-1下有子密钥）：

   vault kv list secret/dev/team-1
   

   若存在子密钥会正常列出；若没有，提示No value found属于正常情况（当前未创建子密钥）。

内容的提问来源于stack exchange，提问作者user3573246