Vault权限拒绝及Token存储失败问题修复咨询

一、解决Token存储权限拒绝问题 #

报错open /.vault-token: permission denied是因为vault-agent-init默认将token写入根目录（/），而容器运行用户无该目录写权限。修复方法：

• 在vault-agent的配置文件中指定token存储到有权限的路径，比如临时目录：

  token_sink "file" {
    path = "/tmp/.vault-token"
  }
  

• 确保容器挂载了emptyDir卷到/tmp目录，或者确认容器运行用户对/tmp有读写权限（生产环境建议配置正确的用户权限，临时验证可执行chmod 777 /tmp）。

二、处理approle认证路径占用问题 #

Vault日志提示kubernetes/和approle/路径已被占用，按以下步骤修复：

1. 列出当前已启用的认证方法：

   vault auth list
   

2. 禁用已存在的冲突approle路径（替换为实际路径，比如auth/approle）：

   vault auth disable auth/approle
   

3. 重新启用approle认证，指定唯一路径（若默认路径仍冲突，可自定义路径如auth/my-approle）：

   vault auth enable -path=approle approle
   

4. 重新创建目标approle角色，并关联正确的权限策略。

三、修复secret路径403权限拒绝问题 #

报错路径/v1/secret/data/services/synapps/certificate是KV v2引擎的访问路径，需确保以下几点：

1. 验证权限策略：确保绑定到approle角色的策略包含该路径的read权限，示例policy：

   path "secret/data/services/synapps/certificate" {
     capabilities = ["read"]
   }
   

2. 关联策略到角色：执行命令将policy绑定到目标role：

   vault write auth/approle/role/[你的角色名称]/policies policies=[策略名称]
   

3. 测试token权限：用当前的role_id和secret_id获取token，执行以下命令验证：

   # 获取token
   vault write auth/approle/login role_id=[你的role_id] secret_id=[你的secret_id]
   # 用token访问secret
   VAULT_TOKEN=[获取到的token] vault kv get secret/services/synapps/certificate
   

   若此步骤仍返回403，检查KV引擎版本是否为v2（执行vault secrets list查看secret/引擎的类型），若为v1需调整policy路径为secret/services/synapps/certificate。

内容的提问来源于stack exchange，提问作者Prema J