使用root token登录Vault执行token lookup报permission denied如何排查

排查方向 #

• 确认当前生效的token是否为正确的root token
  执行echo $VAULT_TOKEN查看环境变量配置的token，同时检查~/.vault-token文件内容，确认是否和你预期的root token一致，避免之前使用普通token后未切换。同时确认该root token未被吊销，如果你有其他高权限账号可执行vault token lookup <root-token>验证token状态。
• 检查namespace配置
  执行echo $VAULT_NAMESPACE确认当前环境的namespace配置，如果你误配置了子namespace，root token在子namespace下默认无权限，需保证namespace为空或配置为root。
• 验证root策略是否被篡改
  root token默认绑定root策略，正常默认root策略配置为：

  path "*" {
    capabilities = ["create", "read", "update", "delete", "list", "sudo"]
  }
  

  如果你有其他可访问策略的账号，可执行vault policy read root确认策略内容是否被修改，root策略被篡改会导致root token失去对应权限。
• 验证root token是否过期
  默认初始化生成的root token无过期时间，但如果你是后续通过生成根令牌操作生成的root token，可能配置了TTL。你可以使用集群的解封密钥重新生成一个新的root token，替换后重试操作验证问题是否解决。
• 检查Vault节点状态
  执行vault status确认你请求的节点是否为active节点，如果你请求的是standby节点，可能存在请求转发异常的问题，可将VAULT_ADDR切换为active节点地址后重试。
• 排查TLS配置问题
  你当前请求的是HTTPS地址，可先验证是否为TLS配置导致的问题：测试环境可临时添加-tls-skip-verify参数执行命令，确认是否为证书校验、中间人拦截等问题导致token被篡改或拦截。
• 确认CLI与服务端版本兼容性
  执行vault version查看本地CLI版本，确认与Vault服务端1.7.0版本匹配，跨大版本的CLI可能存在请求格式兼容性问题导致权限校验失败。

内容的提问来源于stack exchange，提问作者dzieciou