VaultSharp AppRole登录解包失败：无效或不存在的解包令牌

操作过程 #

1. 通过UI获取标准Token后，使用CLI执行AppRole登录命令获取令牌：

vault write auth/approle/login role_id="e309ea24-994c-771e-939f-49e24a936ef2" secret_id="9597c7d0-3a88-c8f7-e43f-e8999600e38e"

2. 命令返回结果：

Key                     Value
---                     -----
token                   s.5NuuJxEfdiJrfSiXXCU5MjZ6.dYgGw
token_accessor          3JFGpuaO45DuxD9nd6mUL6ic.dYgGw
token_duration          1h
token_renewable         true
token_policies          ["default" "transaction"]
identity_policies       []
policies                ["default" "transaction"]
token_meta_role_name    transaction

3. 使用上述返回的token通过VaultSharp执行解包调用：

IVaultClient vaultClientForUnwrapping = new VaultClient(
    new VaultClientSettings(_settings.Address, new TokenAuthMethodInfo(vaultToken: wrappingToken))
);

string appRoleAuthSecretId
    = vaultClientForUnwrapping.V1.System
        .UnwrapWrappedResponseDataAsync<Dictionary<string, object>>(tokenId: null)
            .Result.Data["secret_id"]
                .ToString();

错误信息 #

One or more errors occurred. ({"errors":["wrapping token is not valid or does not exist"]}

解决方法 #

核心问题 #

你用的是AppRole登录生成的普通访问令牌（s.开头的token），但解包操作需要的是专门的包装令牌（wrapping token），二者不是同一类型：普通令牌用于访问Vault资源，包装令牌仅用于解包被包装的数据。

正确操作流程 #

1. 生成包装令牌：如果要获取可解包的SecretID，需在创建SecretID时添加-wrap-ttl参数生成包装令牌：

vault write -wrap-ttl=1h auth/approle/role/transaction/secret-id

该命令会返回包含wrapping_token的结果，这个值才是你需要传入解包方法的令牌：

Key                              Value
---                              -----
wrapping_token                   s.xxxxxxxxx
wrapping_token_accessor          yyyyyyyyy
wrapping_token_ttl               1h
wrapping_token_creation_time     2024-xx-xxTxx:xx:xxZ
wrapping_token_creation_path     auth/approle/role/transaction/secret-id

2. 替换令牌解包：将上述得到的wrapping_token替换代码中的wrappingToken变量，即可正常解包得到secret_id。

额外检查项 #

• 确认包装令牌在-wrap-ttl设置的有效期内，未过期
• 确保解包时使用的确实是包装令牌，而非普通登录令牌
• 检查Vault权限配置：执行解包的令牌需要拥有sys/wrapping/unwrap路径的权限（当前问题核心是令牌类型错误，优先解决此问题）

内容的提问来源于stack exchange，提问作者MB34