绑定sudo和list权限的Vault Token无法列出审计设备如何解决？

问题根因 #

你配置的策略路径规则sys/audit/*仅能匹配sys/audit/后带子路径的接口，而vault audit list对应的API请求路径是sys/audit（无后续子路径），无法被通配符规则命中，因此触发权限拒绝。vault audit enable对应的接口路径为sys/audit/<审计设备名称>，符合通配符匹配规则，所以可以正常执行。

最小权限策略优化 #

将你的aud策略调整为如下配置即可同时覆盖两个操作的最小权限需求：

path "sys/audit" {
  capabilities = ["read", "list", "sudo"]
}

path "sys/audit/*" {
  capabilities = ["create", "update", "sudo"]
}

• 第一条规则专门匹配vault audit list对应的接口，仅授予列表、读取权限和必需的sudo权限（系统类接口默认要求sudo权限才能调用）
• 第二条规则保留启用审计设备需要的创建、更新权限和必要的sudo权限，没有额外授予多余的读/列权限，符合权限最小化要求

内容的提问来源于stack exchange，提问作者Roddy of the Frozen Peas