HashiCorp Vault 1.6.1版本令牌列表查询失败求助

一、lookup_token 权限拒绝（hvac.exceptions.Forbidden） #

• 尽管使用的是根令牌，但Vault 1.6+版本对令牌权限校验做了强化，按以下步骤排查：
  1. 确认根令牌未被限制策略绑定：执行命令 vault token lookup <你的根令牌>，查看输出的policies字段是否包含root。如果存在自定义策略覆盖，可能会限制auth/token/lookup-self或auth/token/lookup路径的访问权限。
  2. 检查lookup_token调用逻辑：如果脚本中调用client.lookup_token()时传入了其他令牌ID，需确认Vault服务器的auth/token/lookup路径ACL是否开放（根令牌默认拥有所有路径权限，但不排除特殊配置）；如果未传参数，是查询自身令牌，此时需确认auth/token/lookup-self路径未被限制。
  3. 查看Vault审计日志：日志会明确记录被拒绝的API端点，根据具体路径调整权限配置。

二、ConnectionRefusedError 连接拒绝 #

该问题属于网络/配置层面，排查方向如下：

• 确认Vault地址配置：确保客户端URL以https://开头，端口与Vault服务器配置一致（默认8200）。
• 处理SSL证书：若使用自签名证书，初始化hvac客户端时需指定CA证书路径，或临时禁用验证（生产环境不建议），示例代码：

  client = hvac.Client(
      url='https://your-vault-url:8200',
      token='your-root-token',
      verify='/path/to/ca-cert.pem'  # 替换为实际CA证书路径，或设为False跳过验证
  )
  

• 排查网络连通性：在客户端机器执行curl -v https://your-vault-url:8200/v1/sys/health，测试是否能正常连接Vault服务器，同时检查防火墙/安全组是否开放对应端口。
• 确认Vault服务器状态：执行vault status检查服务器是否处于unsealed、正常运行状态。

调整后的示例脚本 #

import hvac

def get_vault_client():
    # 初始化客户端，配置正确的URL、令牌和SSL证书路径
    client = hvac.Client(
        url="https://your-vault-host:8200",
        token="your-root-token",
        verify="/path/to/your-ca-cert.pem"
    )
    # 先验证认证状态
    if client.is_authenticated():
        print("Vault客户端认证成功")
    else:
        print("Vault客户端认证失败")
    return client

if __name__ == "__main__":
    try:
        vault_client = get_vault_client()
        # 查询当前令牌自身信息
        token_details = vault_client.lookup_token()
        print("令牌信息:", token_details)
    except hvac.exceptions.Forbidden as err:
        print(f"权限拒绝错误: {str(err)}")
    except ConnectionRefusedError as err:
        print(f"连接拒绝错误: {str(err)}")

内容的提问来源于stack exchange，提问作者ansefloca