Hashicorp Vault从file存储迁移至raft存储遇超时问题求助

你的操作中存在的几个关键错误 #

• 迁移配置的cluster_addr设置错误：在旧file存储容器内执行迁移时，指定的cluster_addr是旧容器的本地地址，迁移生成的Raft数据会绑定该地址与节点ID，但临时Raft容器的网络环境完全不同，导致unseal时节点无法匹配集群配置，触发超时。
• 存储权限未适配：直接复制/vault/raft/文件夹到临时容器后，未同步文件权限（Vault进程通常以vault用户运行），权限不匹配会导致Vault无法读写Raft数据库，引发unseal超时。
• 临时容器的存储路径与配置不匹配：Helm Chart默认的Raft存储路径是/vault/data，但你将迁移数据放在/vault/raft/，且未在临时容器的启动配置中指定该自定义路径，导致节点无法识别迁移数据。

修正后的操作步骤 #

1. 重新执行迁移（在旧file存储容器内）
   修改migrate.hcl，移除不必要的cluster_addr配置（单节点迁移Raft无需指定集群地址）：

   storage_source "file" {
     path = "/vault/data/"
   }
   
   storage_destination "raft" {
     path = "/vault/raft/"
     node_id = "vault-raft-0"
   }
   

   重新执行迁移命令：vault operator migrate --config migrate.hcl

2. 复制数据并修正权限
   将/vault/raft/内的所有文件复制到临时容器的/vault/data/路径下，然后执行权限修正：

   chown -R vault:vault /vault/data/
   

3. 调整Helm配置适配迁移数据
   在Helm values.yaml中指定匹配的节点ID与存储配置：

   server:
     replicaCount: 1
     extraEnvironmentVars:
       VAULT_LOCAL_CONFIG: |
         storage "raft" {
           path = "/vault/data"
           node_id = "vault-raft-0"
         }
         listener "tcp" {
           address = "[::]:8200"
           cluster_address = "[::]:8201"
           # 按需配置TLS参数
         }
     # 确保PVC挂载到/vault/data路径
     volumes:
       - name: raft-storage
         persistentVolumeClaim:
           claimName: your-raft-pvc
   

4. 重新部署并执行unseal
   重新部署临时Vault，确认存储路径下的文件权限与配置无误后，使用原file存储Vault的unseal密钥完成unseal操作。

内容的提问来源于stack exchange，提问作者Lucas Scheepers