使用Terraform Vault Provider创建令牌时遇403权限拒绝问题

核心原因 #

你遇到的403错误，是因为Terraform的Vault Provider默认会尝试创建一个受限的子令牌来执行后续操作，但你通过AppRole获取到的令牌没有auth/token/create接口的操作权限。而你手动用HTTP请求获取令牌时，只是完成了登录流程，并没有触发创建子令牌的动作，所以不会报错。

解决方案 #

有两种处理方式，可根据你的安全需求选择：

方式1：给AppRole令牌添加创建子令牌的权限 #

修改关联到该AppRole的Vault Policy，添加对auth/token/create路径的create权限。示例Policy规则：

path "auth/token/create" {
  capabilities = ["create"]
}

如果需要更严格的权限控制，可以限制子令牌的策略、TTL等参数：

path "auth/token/create" {
  capabilities = ["create"]
  allowed_parameters = {
    "policies" = ["terraform-operation-policy"]
    "ttl" = ["1h"]
  }
}

更新Policy后，重新关联到对应的AppRole即可。

方式2：禁用Provider创建子令牌的行为 #

在Vault Provider配置中添加skip_child_token = true，让Provider直接使用AppRole登录得到的令牌执行操作，不再创建子令牌。修改后的配置：

provider "vault" {
  address = var.vault_address

  auth_login {
    path = "auth/approle/login"

    parameters = {
      role_id   = var.role_id
      secret_id = var.secret_id
    }
  }

  skip_child_token = true
}

这种方式更快捷，但需注意：直接使用AppRole令牌的话，令牌的权限范围和生命周期完全由AppRole的配置决定，要确保该令牌的权限覆盖Terraform所需的所有操作，同时做好令牌的生命周期管理。

内容的提问来源于stack exchange，提问作者Przemek Wit