Vault v1.9.2配置delete权限策略后，Curl操作秘钥仍报权限拒绝

核心问题定位 #

你的问题大概率是KV引擎路径匹配错误：Vault KV v2引擎的实际数据操作路径并非secret/*，而是secret/data/*，原有策略的路径规则不匹配实际请求路径，导致权限校验失败。

分步解决 #

1. 确认KV引擎版本 #

先执行命令查看secret挂载点的引擎类型：

vault secrets list -detailed

如果输出中Type列显示kv-v2，说明是KV v2引擎，需要调整策略路径；如果是kv则是v1引擎，路径规则不同。

2. 修正策略文件（KV v2场景） #

修改my_policy.hcl，将路径调整为KV v2对应的规则：

# 匹配数据操作路径（支持create/read/update/delete/list）
path "secret/data/*" {
  capabilities = ["create", "read", "update", "list", "delete"]
}

# 如需管理秘钥元数据（删除秘钥时会用到），添加此规则
path "secret/metadata/*" {
  capabilities = ["list", "delete"]
}

如果是KV v1引擎，原路径secret/*是正确的，但需确认挂载路径确实为secret。

3. 更新策略并验证 #

执行命令更新策略：

vault policy write my_policy my_policy.hcl

确认策略已生效：

vault policy read my_policy

4. 重新生成令牌并校验权限 #

• 关联default和自定义策略：

vault token create -policy=default -policy=my_policy

• 仅使用自定义策略：

vault token create -policy=my_policy -no-default-policy

生成令牌后，直接校验目标路径的权限：

vault token capabilities <你的令牌> secret/data/testA1/test

如果输出包含所需的read、delete等权限，说明策略配置正确。

5. 修正Curl命令格式 #

确保Curl请求的路径与KV引擎版本匹配，KV v2的正确命令：

• GET秘钥：

curl -H "X-Vault-Token: <你的令牌>" $VAULT_ADDR/v1/secret/data/testA1/test

• DELETE秘钥：

curl -X DELETE -H "X-Vault-Token: <你的令牌>" $VAULT_ADDR/v1/secret/data/testA1/test

额外排查点 #

• 确认VAULT_ADDR指向Vault的正确地址（例如http://127.0.0.1:8200）
• 如果使用了命名空间，确保令牌在对应命名空间下生成，且Curl请求添加X-Vault-Namespace头：

curl -H "X-Vault-Token: <你的令牌>" -H "X-Vault-Namespace: <你的命名空间>" $VAULT_ADDR/v1/secret/data/testA1/test

内容的提问来源于stack exchange，提问作者AKS