如何在HashiCorp Vault中实现组成员身份搜索与关联配置

LDAP组导入失败修复方案 #

• 核对核心配置参数
  执行命令vault read auth/ldap/config导出当前配置，重点检查3个参数：
  • groupfilter：需匹配你LDAP服务的组对象类和成员属性，默认值(&(objectClass=groupOfNames)(member={{.UserDN}}))仅适用于成员属性为member、组对象类为groupOfNames的场景；如果是POSIX组需改为(&(objectClass=posixGroup)(memberUid={{.Username}}))，AD环境可改为(&(objectCategory=group)(member={{.UserDN}}))
  • groupdn：确认配置的OU路径下存在目标组，且Vault用于绑定LDAP的服务账号拥有该OU的读取权限；如果组分布在多个OU下，可填写多个groupdn用逗号分隔
  • discoverdn：需设置为true，确保Vault能自动查询到用户的完整DN用于组匹配
• 手动验证组匹配逻辑
  执行测试登录命令vault login -method=ldap username=<测试用户名>，登录完成后执行vault token lookup -format=json <返回的token值> | jq '.data.group_ids'，如果返回非空数组说明组匹配成功，否则查看Vault的debug日志定位LDAP查询失败的具体原因。
• 组与策略绑定配置
  组匹配成功后，Vault会自动创建对应LDAP组的外部身份组，直接将策略绑定到对应外部组即可，无需手动维护用户-组关系。

权限策略模板配置 #

• 普通用户自有数据访问策略（适用于所有LDAP用户）
  假设KV Secrets Engine挂载在secret/路径，用户数据存放在secret/users/[用户名]/路径下，策略内容如下：

  # KV V1 引擎配置
  path "secret/users/{{identity.entity.name}}/*" {
    capabilities = ["create", "read", "update", "delete", "list"]
  }
  
  # KV V2 引擎需改为以下配置
  # path "secret/data/users/{{identity.entity.name}}/*" {
  #   capabilities = ["create", "read", "update", "delete", "list"]
  # }
  

  将该策略绑定到所有LDAP用户默认归属的全局组即可。
• 特殊组全量数据访问策略（适用于accountancy等特殊组）
  策略内容如下：

  # KV V1 引擎配置
  path "secret/users/*" {
    capabilities = ["create", "read", "update", "delete", "list"]
  }
  
  # KV V2 引擎需改为以下配置
  # path "secret/data/users/*" {
  #   capabilities = ["create", "read", "update", "delete", "list"]
  # }
  

  将该策略直接绑定到LDAP导入的accountancy外部组，所有归属该组的用户登录后将自动继承该权限。

内容的提问来源于stack exchange，提问作者Bonana