如何使用PowerShell连接HashiCorp Vault并获取密钥（新手求助）

现有代码的核心问题 #

1. 未定义变量$prefix：Get-Vault函数里拼接uri时用到了$prefix，但这个变量从未声明或赋值，直接运行会抛出变量未定义的错误。
2. 缺少核心流程：代码只定义了一个空壳工具函数，完全没有实现AppRole登录获取Vault Token、以及用Token读取密钥的关键逻辑。

修正后的完整代码 #

以下是可以完成「AppRole登录Vault + 读取KV密钥」的完整PowerShell代码：

# Vault配置信息
$Vault_Address       = 'https://your-vault-server-address' # 替换为你的Vault地址
$VAULT_LOGIN_APPROLE = $Vault_Address + '/v1/auth/approle/login'
$VAULT_KV_PATH       = $Vault_Address + '/v1/secret/your/kv/path' # 替换为你的KV路径

$RoleID              = 'your-role-id' # 替换为实际的RoleID
$SecretID            = 'your-secret-id' # 替换为实际的SecretID

# 设置Vault环境变量
$ENV:VAULT_ADDR = $Vault_Address

# 定义Vault请求参数生成函数（修复未定义变量问题）
function Get-VaultRequestParams {
    [CmdletBinding()]
    [OutputType([PSCustomObject])]
    Param
    (
        [Parameter(Position=0)]
        [String]
        $Address = $env:VAULT_ADDR,

        [Parameter(Position=1)]
        [String]
        $Token = $env:VAULT_TOKEN,

        [Parameter(Position=2, Mandatory=$true)]
        [String]
        $ApiPath
    )

    [PSCustomObject]@{
        'uri' = $Address + '/v1' + $ApiPath
        'auth_header' = @{'X-Vault-Token'=$Token}
    }
}

# 1. AppRole登录获取Vault Token
$loginBody = @{
    role_id = $RoleID
    secret_id = $SecretID
} | ConvertTo-Json

try {
    $loginResponse = Invoke-RestMethod -Uri $VAULT_LOGIN_APPROLE -Method Post -Body $loginBody -ContentType 'application/json'
    $vaultToken = $loginResponse.auth.client_token
    Write-Host "成功获取Vault Token：$vaultToken"
}
catch {
    Write-Error "登录失败：$($_.Exception.Message)"
    exit 1
}

# 2. 使用Token读取KV密钥
$requestParams = Get-VaultRequestParams -Token $vaultToken -ApiPath '/secret/your/kv/path' # 与上方KV路径后缀保持一致
try {
    $secretResponse = Invoke-RestMethod -Uri $requestParams.uri -Headers $requestParams.auth_header -Method Get
    Write-Host "获取到的密钥内容："
    $secretResponse.data | Format-List
}
catch {
    Write-Error "读取密钥失败：$($_.Exception.Message)"
    exit 1
}

关键说明 #

• 替换代码中所有your-xxx占位符为你的实际Vault配置信息。
• 重命名函数为Get-VaultRequestParams并强制要求传入ApiPath参数，彻底避免未定义变量的问题。
• 添加了完整的错误处理，方便排查登录或读取密钥时的异常。
• 严格遵循Vault API规范：AppRole登录用POST请求发送JSON体，读取KV用GET请求并携带X-Vault-Token请求头。

内容的提问来源于stack exchange，提问作者user11605037