配置sys/seal权限后，非root令牌仍无法密封Vault的问题求助

问题现象 #

通过userpass认证生成的令牌（已配置包含sys/seal路径create+sudo权限的策略），执行CLI或HTTP API密封Vault时返回403权限拒绝错误，但使用root令牌可正常完成密封。

官方文档说明：

该端点用于密封Vault。在HA模式下，仅活动节点可被密封，备用节点需重启以实现相同效果。需要拥有root策略或该路径sudo权限的令牌。

配置的策略内容：

path "sys/seal"
{
    capabilities = ["create", "sudo"]
}

收到的错误信息：

Error sealing: Error making API request.

URL: PUT <HOST>/v1/sys/seal
Code: 403. Errors:

* 1 error occurred:
    * permission denied

排查步骤 #

• 验证令牌关联的策略：执行vault token lookup <你的令牌>，查看输出中policies字段是否包含你配置的自定义策略，确保策略已正确关联到该令牌。
• 确认策略内容正确性：执行vault policy read <策略名称>，核对返回的策略文本是否与你配置的一致，避免存在拼写错误或格式问题。
• 确认操作节点状态：执行vault status，检查HA Mode是否为active（活动节点），HA模式下备用节点无法直接密封，必须重启才能等效密封，若操作的是备用节点，即使权限正确也会报错。
• 检查是否存在冲突策略：确认该令牌没有关联其他包含deny权限的策略，避免权限被覆盖。

解决建议 #

1. 重新关联策略到用户：如果令牌未关联目标策略，执行以下命令将策略绑定到userpass用户：

vault write auth/userpass/users/<用户名> policies=<策略名称>

然后重新生成令牌测试。

2. 确认策略生效：若策略刚创建，可尝试重新加载策略（无需重启Vault），确保策略已生效：

vault policy write <策略名称> <策略文件路径>

3. 验证HA节点状态：确保操作的是集群中的活动节点，若误操作备用节点，切换到活动节点后再执行密封命令。

内容的提问来源于stack exchange，提问作者LeonMarchetti