如何访问HashiCorp Vault OIDC日志及JWT声明元数据

verbose_oidc_logging = "true" 开启的OIDC调试信息不会单独生成专属日志文件，也不会在Vault UI单独提供访问入口，所有内容统一归集到Vault服务日志中，可按以下方式获取：

• 本地dev模式实例 #

  如果你用vault server -dev启动本地测试实例，OIDC调试日志会直接打印在启动Vault命令的终端窗口内。日志级别为DEBUG，完整走一次Azure AD跳转登录的流程后，在终端输出中搜索auth.jwt、claims关键字，就能看到解析后的全量JWT声明字段、声明匹配校验的全流程记录。如果启动时将输出重定向到了文件，直接在对应文件内搜索上述关键字即可。

• 非dev模式的本地部署实例 #

  1. 先确认日志级别已开启DEBUG：Vault默认日志级别为INFO，即使角色侧开了verbose日志，DEBUG级别的OIDC调试内容也会被默认丢弃。可以在启动服务时加-log-level=debug参数，也可以在服务运行时动态调整，执行命令vault write sys/config/logging level=debug即可，无需重启服务。
  2. 根据部署方式找日志位置：
     • 用systemd管理的二进制部署实例：执行journalctl -u vault -f实时滚动查看服务日志，触发登录流程后过滤[DEBUG] auth.jwt开头的条目即可。
     • Docker部署的实例：执行docker logs -f <vault容器ID/名称>查看实时输出，同样过滤auth.jwt关键字。

• 不依赖服务日志的快速核验方案 #

  不需要调整日志配置也能直接拿到JWT声明内容：
  1. 触发OIDC登录流程，打开浏览器开发者工具切换到网络面板，在Azure AD跳转回Vault的回调请求中，抓取到Azure AD返回的id_token字段。JWT格式为三段式用.分隔，取中间第二段做Base64解码，就能直接看到所有明文声明字段，直接核对email、groups等字段的实际取值即可。
  2. 临时开启审计日志精准捕获认证内容：执行vault audit enable file file_path=/tmp/vault-audit.log log_raw=true，触发一次OIDC登录流程后，直接查看/tmp/vault-audit.log即可拿到完整的认证请求、响应及解析后的JWT声明内容，排查完成后执行vault audit disable file/关闭临时审计即可，避免日志文件占用过多磁盘空间。

配置注意点：Azure AD默认返回的groups声明值为安全组的Object ID，并非组的显示名称，你当前配置中bound_claims = { "groups": "VaultAdmins" }大概率会因为值不匹配触发声明校验报错，可在Azure AD应用注册的声明配置中修改组声明返回格式，或直接将绑定值替换为VaultAdmins组对应的Object ID即可。

内容的提问来源于stack exchange，提问作者hitman126