Spring Cloud Vault采用AWS IAM认证令牌过期后应用仍运行问题排查

问题一：令牌被丢弃后应用仍可正常运行的原因 #

• Spring Cloud Vault 默认仅在应用启动阶段一次性从Vault拉取所有外置配置，加载到Spring应用上下文的Environment中缓存使用。只要应用没有触发配置刷新逻辑（比如主动调用/actuator/refresh端点、用到@RefreshScope注解的Bean被刷新、应用上下文重启），运行过程中不会再主动向Vault发起配置请求，因此即使Vault令牌失效，内存中已缓存的配置依然可以正常支撑业务运行。
• 只有当你的业务代码中存在运行时主动调用VaultTemplate等API访问Vault获取新密钥的逻辑时，令牌失效才会导致相关请求报错。

问题二：无新令牌创建日志的原因 #

• 首先你配置的Vault角色max_ttl=2h是令牌的最长有效时间硬限制，到达该阈值后续期请求会直接被Vault拒绝，因此LifecycleAwareSessionManager会直接丢弃无法续期的旧令牌。
• Spring Cloud Vault 默认仅提供已有令牌的续期能力，不会在令牌完全失效后自动触发AWS IAM认证流程重新申请新令牌，因此自然不会有新令牌创建的相关日志输出。如果需要开启自动重认证能力，需要在配置中添加：

cloud:
  vault:
    session:
      lifecycle:
        recreate-session-on-refresh-error: true

• 另一种可能性是你已开启重认证配置，但Spring Cloud Vault 重认证相关的默认日志级别为DEBUG，如果你的日志框架仅输出INFO及以上级别的日志，也不会看到新令牌的创建记录，可以调整org.springframework.vault包的日志级别为DEBUG排查。

内容的提问来源于stack exchange，提问作者kolyaiks