从Vault导出命名空间数据遇报错，求跨实例迁移方案

一、修复vault kv list命令错误 #

你之前的命令参数顺序有误，-namespace属于全局标识，必须放在子命令前，正确写法如下：

vault kv list -namespace=productname/envname/application-namespace/service-name secret/

也可以通过环境变量指定命名空间，避免重复输入：

export VAULT_NAMESPACE=productname/envname/application-namespace/service-name
vault kv list secret/

二、完整迁移方案（保留命名空间+KV密钥） #

1. 导出源实例的KV数据 #

根据KV引擎版本选择对应导出方式：

• KV v2引擎（Vault 1.11+支持）：直接用原生导出命令

vault kv export -namespace=productname/envname/application-namespace/service-name -format=json secret/ > kv-secret-export.json

• KV v1引擎：需要脚本遍历导出（v1无原生导出命令）

# 列出所有密钥路径
vault kv list -namespace=productname/envname/application-namespace/service-name -format=json secret/ | jq -r '.[]' > key-paths.txt
# 遍历导出每个密钥
while read -r path; do
  vault kv get -namespace=productname/envname/application-namespace/service-name -format=json secret/$path >> kv-secret-export.json
done < key-paths.txt

2. 在目标实例创建对应命名空间 #

Vault不支持直接导出导入命名空间配置，需手动创建层级一致的命名空间：

# 逐层创建
vault namespace create productname
vault namespace create productname/envname
vault namespace create productname/envname/application-namespace
vault namespace create productname/envname/application-namespace/service-name

# 或一次性创建完整层级
vault namespace create -path=productname/envname/application-namespace/service-name

3. 在目标实例导入KV数据 #

先确保目标命名空间已启用同版本的KV引擎：

# KV v2
vault secrets enable -namespace=productname/envname/application-namespace/service-name -version=2 kv
# KV v1
vault secrets enable -namespace=productname/envname/application-namespace/service-name kv

再执行导入：

• KV v2引擎：用原生导入命令

vault kv import -namespace=productname/envname/application-namespace/service-name secret/ @kv-secret-export.json

• KV v1引擎：遍历导出文件逐个写入

cat kv-secret-export.json | jq -c '.[]' | while read -r entry; do
  path=$(echo "$entry" | jq -r '.data.request_path' | sed 's/^secret\///')
  data=$(echo "$entry" | jq -r '.data.data | to_entries | map("\(.key)=\(.value|tostring)") | .[]')
  vault kv put -namespace=productname/envname/application-namespace/service-name secret/$path $data
done

三、验证迁移结果 #

在目标实例执行以下命令确认数据完整性：

# 列出密钥路径
vault kv list -namespace=productname/envname/application-namespace/service-name secret/
# 查看单个密钥内容
vault kv get -namespace=productname/envname/application-namespace/service-name secret/<具体密钥路径>

内容的提问来源于stack exchange，提问作者DeirdreRodgers