如何查询Hashicorp Vault密钥存入时间并按日期轮换

Vault默认不会为KV v1引擎存储的密钥附加创建时间元数据，你可以根据当前使用的密钥引擎版本选择对应方案：

• 方案1：使用KV v2引擎自带的版本元数据（推荐）
  KV v2是Vault当前默认推荐的密钥引擎版本，会自动为每个版本的密钥维护系统级元数据，其中created_time字段就是该版本密钥被写入Vault的精确RFC3339格式时间，不需要手动写入维护。
  注意KV v2的接口路径和返回结构和v1有区别：读取密钥的路径需要在原有路径前加/data/前缀，返回结果中系统元数据和实际密钥数据平级存放，实际密钥内容存放在data字段下。
  适配你现有代码的示例实现：

  import (
      "fmt"
      "time"
  )
  
  func (v *vImpl) readSecret(name string) (map[string]interface{}, error) {
      // KV v2读取路径必须拼接/data/前缀
      secretPath := fmt.Sprintf("secret/data/%s", name)
      secret, err := v.client.Logical().Read(secretPath)
      if err != nil {
          return nil, err
      }
      if secret == nil || secret.Data == nil {
          return nil, fmt.Errorf("secret %s not found", name)
      }
  
      // 提取系统自动生成的版本元数据
      meta, ok := secret.Data["metadata"].(map[string]interface{})
      if !ok {
          return nil, fmt.Errorf("please confirm you are using KV v2 engine, no metadata found for %s", name)
      }
      createdTimeStr, ok := meta["created_time"].(string)
      if !ok {
          return nil, fmt.Errorf("created_time field missing in metadata")
      }
      createdTime, err := time.Parse(time.RFC3339, createdTimeStr)
      if err != nil {
          return nil, fmt.Errorf("parse created_time failed: %w", err)
      }
  
      // 校验是否存储满6个自然月，AddDate可自动处理大小月、闰月差值
      if time.Now().After(createdTime.AddDate(0, 6, 0)) {
          // 异步触发轮换，避免阻塞正常读请求
          go v.triggerSecretRotation(name)
      }
  
      // 提取实际存储的密钥内容
      secretData, ok := secret.Data["data"].(map[string]interface{})
      if !ok {
          return nil, fmt.Errorf("invalid secret data structure")
      }
  
      /* 你的原有密钥处理逻辑 */
      return secretData, nil
  }
  

  如果你当前使用的是KV v1引擎，可以通过Vault命令行或者API直接升级到v2版本，升级后原有密钥数据不会丢失，会自动生成初始版本的元数据。
• 方案2：自定义元数据兼容KV v1引擎
  如果你无法升级到KV v2引擎，可以在每次写入、轮换密钥的时候，主动在密钥结构中增加自定义字段（比如_stored_at），写入当前时间戳，读取密钥时解析该字段判断存储时长即可。
  这个方案的缺点是需要覆盖所有密钥写入入口（包括你之前手动操作Vault存储密钥的流程），必须保证每次写入都带上这个时间字段，否则会出现时长判断失效的问题。

不要尝试通过拉取Vault审计日志反查密钥创建时间，审计日志是面向运维审计的流水数据，在业务读链路中查询审计日志的性能、可靠性都无法满足要求。

内容的提问来源于stack exchange，提问作者Daffodil