GitLab集成Vault通过JWT认证获取秘钥遇问题求指导

1. 修正读取秘钥的CURL命令（核心问题） #

你当前的list_secrets命令存在语法错误和路径错误，这是返回HTML的主要原因：

• 未闭合请求头的引号
• 未指定完整的Vault API路径（需区分KV引擎版本）
• 缺少强制返回JSON的请求头

针对KV v2引擎（Vault默认） #

假设你的秘钥存储在secret/data/demo/db路径下（secret是KV引擎挂载点，demo/db是秘钥路径），正确命令：

list_secrets=$(curl -k \
  --request GET \
  --header "X-Vault-Token: ${VAULT_TOKEN}" \
  --header "Accept: application/json" \
  http://127.0.0.1:8200/v1/secret/data/demo/db)

针对KV v1引擎 #

如果是旧版KV引擎，路径无需/data/：

list_secrets=$(curl -k \
  --request GET \
  --header "X-Vault-Token: ${VAULT_TOKEN}" \
  --header "Accept: application/json" \
  http://127.0.0.1:8200/v1/secret/demo/db)

2. 验证返回内容 #

执行echo "${list_secrets}"，确认输出是JSON格式而非HTML：

• 若仍返回HTML：检查是否误用了Vault UI地址（如8200/ui），API地址应为http://127.0.0.1:8200/v1/xxx
• 若返回JSON错误（如permission denied）：检查JWT角色绑定的Policy是否允许读取目标路径，示例Policy：

path "secret/data/demo/db" {
  capabilities = ["read"]
}

3. 修正秘钥提取的JQ命令 #

原命令的JQ语法错误，且因list_secrets是HTML导致解析失败，修正后：

KV v2引擎 #

Secret_1=$(echo "${list_secrets}" | jq -r '.data.data["dbname.password"]')
echo $Secret_1

KV v1引擎 #

Secret_1=$(echo "${list_secrets}" | jq -r '.data["dbname.password"]')
echo $Secret_1

也可直接在CURL命令中完成提取，避免临时变量：

Secret_1=$(curl -k \
  --request GET \
  --header "X-Vault-Token: ${VAULT_TOKEN}" \
  --header "Accept: application/json" \
  http://127.0.0.1:8200/v1/secret/data/demo/db | jq -r '.data.data["dbname.password"]')
echo $Secret_1

内容的提问来源于stack exchange，提问作者knowledge20