Hashicorp Vault 个人Vault策略配置：KV2挂载专属权限问题

看起来你在配置员工专属KV2存储时踩了两个典型的坑：一是用了*通配符导致权限范围太宽松，所有员工都能访问他人的路径；二是没搞清楚KV2引擎的路径模型，导致list操作和UI访问返回403。我来帮你一步步修正：

首先，修正核心权限：锁定员工专属路径 #

你当前的策略用personal/data/user/*会让所有员工能读写任意用户的路径，这完全违背了“仅能访问自己存储”的需求。Vault支持用身份动态变量来为每个员工生成专属权限，确保他们只能访问自己的目录。

假设你的员工登录后，用户名存储在identity.entity.name中（可以通过vault token lookup查看实体信息确认），把策略改成这样：

# 允许员工读写自己的KV2数据路径
path "personal/data/user/{{identity.entity.name}}" {
  capabilities = ["create", "read", "update", "delete", "list"]
}

# KV2需要metadata路径权限来支持版本管理、list等操作
path "personal/metadata/user/{{identity.entity.name}}" {
  capabilities = ["create", "read", "update", "delete", "list"]
}

# 保留全局secrets挂载的访问权限（按需调整能力）
path "secrets/*" {
  capabilities = ["read", "list"]
}

这样配置后，每个员工只能访问personal/user/自己的用户名路径，尝试访问他人路径会直接返回403。

解决UI和vault kv list personal/的403问题 #

KV2引擎的list操作和UI预览依赖metadata路径的权限，你之前的personal/+规则没有覆盖这个端点，所以会报错。这里有两个符合你需求的方案：

方案A：允许看到user目录，但无法查看其他用户的子目录 #

如果你希望员工能在UI中看到user入口（点击后只能看到自己的目录），添加以下策略：

# 允许列出personal根目录的一级目录（仅能看到user）
path "personal/metadata/" {
  capabilities = ["list"]
}

# 允许列出user目录，但只能看到自己的子目录
path "personal/metadata/user/" {
  capabilities = ["list"]
}

测试一下：

• 执行vault kv list personal/会返回user/
• 执行vault kv list personal/user/只会显示自己的用户名
• 尝试查看其他用户的目录会返回403

方案B：完全隐藏其他目录，直接访问专属路径 #

如果不想让员工看到任何其他目录的存在，可以不添加根目录的list权限。此时UI打开personal挂载会显示403，但员工可以通过：

• 在UI中直接输入路径personal/user/自己的用户名
• 在CLI中执行vault kv get personal/user/自己的用户名

来访问自己的存储，完全不会感知到其他用户的存在。

验证效果 #

用任意员工的token测试：

# 访问自己的路径（成功）
vault kv get personal/user/你的用户名

# 尝试访问其他员工的路径（返回403）
vault kv get personal/user/其他用户名

# 执行list操作（根据所选方案，要么返回user/，要么403）
vault kv list personal/

内容的提问来源于stack exchange，提问作者TheImmortal