Python使用hvac库获取Vault token lookup详情报Forbidden错误

问题现象 #

测试代码用于实现Vault令牌续期、令牌信息输出，前序鉴权、密钥读取、令牌续期接口都能正常执行，调用lookup_token时报错，异常信息为：

hvac.exceptions.Forbidden: 1 error occurred:

测试代码片段：

import hvac
VAULT_URL = "https://vault.com"
VAULT_TOKEN = ".sasassasas"

client = hvac.Client(url=VAULT_URL, verify=False, token=VAULT_TOKEN)

auth = client.is_authenticated()
print(auth)
response = client.read(path="secret/apps/USERNAME/v1")
print(response)
renew_state = client.renew_token()
print(renew_state)
lookup = client.lookup_token(token=VAULT_TOKEN)
print(lookup) # 执行到该行抛出异常

根因分析 #

• 显式给lookup_token传入token=VAULT_TOKEN参数时，hvac会调用auth/token/lookup路由，这个接口设计用于查询任意指定令牌的信息，默认要求调用方具备管理员级别的令牌查询权限，普通业务令牌默认没有该路径的访问权限。
• 普通业务令牌默认仅能访问auth/token/lookup-self接口查询自身信息，你当前持有的令牌没有auth/token/lookup路径的读权限，因此返回403错误。

修复方案 #

• 方案1（无需调整权限，推荐）：去掉lookup_token的显式传参，hvac会自动调用自查询接口，使用当前客户端绑定的令牌查询自身信息，普通令牌默认自带该接口权限：

  # 不传token参数，默认查询当前客户端持有的令牌信息
  lookup = client.lookup_token()
  print(lookup)
  

  也可以直接调用明确的自查询方法，避免不同版本hvac的路由适配问题：

  lookup = client.auth.token.lookup_self()
  

• 方案2：如果业务场景确实需要查询其他令牌的信息，联系Vault管理员给当前使用的令牌绑定对应ACL策略，策略参考：

  path "auth/token/lookup" {
    capabilities = ["read"]
  }
  

• 补充优化：client.renew_token()的返回结果本身就包含续期后令牌的有效期、过期时间、关联策略等核心信息，如果只是需要续期后拿到令牌元数据，直接解析renew_state返回值即可，无需额外调用lookup接口。

内容的提问来源于stack exchange，提问作者Markus