Hashicorp Vault生成token访问KV v2提示权限拒绝问题咨询

问题核心原因 #

所有权限报错的根源是两个配置不匹配：

• 搞错了KV引擎的实际挂载点：你当前KV v2引擎挂载在kv/路径下，而非Vault默认的secret/路径
• 没遵循KV v2的固定路径规则：KV v2和v1的API/策略路径结构完全不同，读密钥内容必须在挂载点后加/data层级，浏览路径/UI展示需要/metadata层级的列表权限

你之前三次策略配置的错误点：

1. 初始配置path "secret/clients-integration"：挂载点错误+缺少KV v2要求的/data层级，直接触发permission denied
2. 第二次配置path "secrets/kv/secret/clients-integration"：路径层级完全错误，多了冗余的secrets前缀，既没有读权限也没有列表权限，所以UI仅显示默认的cubbyhole，看不到KV引擎
3. 第三次配置path "secret/data/clients-integration"：虽然加了/data层级，但挂载点还是错写成默认的secret/，和你实际调用的/v1/kv/data/...API路径不匹配，权限不生效

正确操作步骤 #

1. 写入正确的app-readonly策略 #

执行命令更新策略，或者直接在UI里编辑策略内容为：

# 核心读权限：匹配实际API路径，允许读取目标密钥内容
path "kv/data/secret/clients-integration" {
  capabilities = ["read"]
}

# 可选UI/列表权限：如果需要在UI看到KV引擎、浏览路径结构，必须添加以下列表权限
path "kv/metadata" {
  capabilities = ["list"]
}
path "kv/metadata/secret" {
  capabilities = ["list"]
}

注：如果不需要UI浏览，只需要通过API读密钥，可以删掉后面两段metadata相关的权限配置，不影响API调用读取密钥值。

2. 重新生成访问token #

策略更新后，之前生成的旧token不会自动同步新权限，需要重新执行token创建命令生成新token：

vault token create -policy=app-readonly -display-name=readonly-app-token -orphan=true -no-default-policy

3. 验证 #

• API侧：把新token放到请求头X-Vault-Token中，调用接口http://host:8080/v1/kv/data/secret/clients-integration?version=2即可正常返回密钥数据
• UI侧：用新token登录后，就能看到kv存储引擎，进入后可正常查看对应路径的密钥内容

配置规则备忘 #

KV v2引擎的策略路径通用规则：

• 读/写密钥值：路径格式为<挂载点>/data/<引擎内的密钥路径>，对应read/create/update权限
• 浏览路径/查看版本元数据/删除密钥：路径格式为<挂载点>/metadata/<引擎内的密钥路径>，对应list/read/delete权限
  配置前可以用root执行vault secrets list命令确认所有引擎的挂载点，避免写错路径前缀。

内容的提问来源于stack exchange，提问作者Saran