Terraform配置Vault命名空间/组/策略时无法添加身份组成员

问题根因 #

配置存在三处核心问题导致实体绑定失败、资源关联不生效：

• vault_identity_entity数据源未指定namespace参数，默认读取根命名空间下的身份实体。若目标用户实体创建在devops子命名空间下，数据源将匹配不到正确实体；若实体存在于根命名空间，Vault默认不允许跨命名空间将实体加入子命名空间的内部身份组。
• vault_identity_group_policies资源未指定namespace参数，默认在根命名空间下匹配组ID做策略绑定，与创建在子命名空间下的devops用户组资源不匹配，会导致策略绑定失效。
• 实体ID取值逻辑冗余，通过解析data_json取ID的方式容易因字段结构变化出现取值错误，数据源本身已直接导出id属性可直接引用。

修正后配置 #

# module.users返回同命名空间下vault_identity_entity.entity.id
data "vault_identity_entity" "user_lookup" {
  for_each    = toset([for user in local.groups : user.name])
  entity_name = each.key
  # 显式指定命名空间，和目标身份组保持一致
  namespace = module.devops_namespace.vault_namespace

  depends_on = [
    module.users
  ]
}

# module.devops_namespace返回vault_namespace.namespace.path
resource "vault_identity_group" "devops" {
  depends_on = [
    vault_policy.policy
  ]
  name      = "devops_users"
  namespace = module.devops_namespace.vault_namespace
  # 直接引用数据源导出的id属性，无需解析data_json
  member_entity_ids = [for user in data.vault_identity_entity.user_lookup : user.id]
  
  # 若需要关联根命名空间下的实体，取消下方注释将组类型设为external
  # type = "external"
}

resource "vault_identity_group_policies" "default" {
  # 显式指定命名空间，和目标身份组保持一致
  namespace = module.devops_namespace.vault_namespace
  policies  = [vault_policy.gitlab_policy.name]
  exclusive = false
  group_id  = vault_identity_group.devops.id
}

注意事项 #

• Vault内部身份组（默认type为internal）仅允许关联同命名空间下的身份实体作为成员，跨命名空间关联实体必须将组类型设置为external
• 所有操作子命名空间资源的Terraform Vault Provider资源、数据源，都必须显式指定namespace参数，否则默认会在根命名空间下执行操作，导致资源匹配错误、创建位置不符合预期
• 若vault_policy.gitlab_policy创建在devops子命名空间下，需确保该策略资源也配置了相同的namespace参数，否则会出现策略不存在的报错

验证步骤 #

• 执行terraform plan，查看输出计划中vault_identity_group.devops资源的member_entity_ids字段是否正确带出所有目标用户的实体ID，无空值、ID缺失情况
• 执行terraform apply完成资源创建后，通过Vault CLI执行vault read -namespace=<devops命名空间路径> identity/group/id/<devops组ID>，查看返回结果中的member_entity_ids列表是否包含所有目标实体ID
• 执行vault read -namespace=<devops命名空间路径> identity/group/id/<devops组ID>/policies，确认目标访问策略已正确关联

内容的提问来源于stack exchange，提问作者Stacker