HashiCorp Vault批量加密的Curl命令语法及前置条件咨询

我来帮你搞定这个批量加密的需求——Vault的Transit API确实支持单次请求加密多个值，但之前的格式不对，导致请求失败。下面是详细的正确用法和前置条件：

前置条件 #

• 确保你已经创建了Transit密钥（比如通过命令 vault write transit/keys/my-encryption-key），密钥不需要额外配置批量支持，默认就支持批量操作。
• 你的Vault令牌拥有transit/encrypt/<key-name>路径的写入权限。

正确的curl批量加密命令 #

多个待加密值需要放在batch_input数组中，每个元素是包含plaintext字段的对象（注意：每个plaintext值必须是Base64编码的原始数据，和单个加密的要求完全一致）。

示例命令：

curl --header 'X-Vault-Token:你的令牌内容' \
     --request POST \
     --data '{"batch_input": [{"plaintext": "YWJjZDEyMzQ="}, {"plaintext": "ZWZnaDU2Nzg="}]}' \
     http://localhost:8200/v1/transit/encrypt/my-encryption-key

注意：把上面的my-encryption-key替换成你实际使用的Transit密钥名称；YWJjZDEyMzQ=是abcd1234的Base64编码，ZWZnaDU2Nzg=是efgh5678的Base64编码，你需要把所有待加密的原始值都转成Base64格式后再传入。

响应格式说明 #

成功的响应会返回data.batch_results数组，每个元素对应输入的plaintext，包含加密后的ciphertext字段，顺序和你输入的batch_input完全一致，示例响应如下：

{
  "request_id": "xxx",
  "lease_id": "",
  "renewable": false,
  "lease_duration": 0,
  "data": {
    "batch_results": [
      {
        "ciphertext": "vault:v1:xxx..."
      },
      {
        "ciphertext": "vault:v1:yyy..."
      }
    ]
  },
  "wrap_info": null,
  "warnings": null,
  "auth": null
}

常见问题排查 #

• 如果返回invalid request body错误：检查batch_input的格式是否正确，确保每个元素都是包含plaintext的对象，且所有plaintext都是Base64编码。
• 如果返回权限错误：确认你的令牌拥有对应密钥的transit/encrypt权限，可以通过vault policy read命令检查绑定的策略。

内容的提问来源于stack exchange，提问作者Masood Bashamaq