如何阻止HashiCorp Vault中userpass用户互改策略与密码？

好问题！你完全不用为每个用户单独创建硬编码路径的策略——Vault其实支持身份模板变量，只是你用的${user}不是Vault认可的语法。我之前也踩过这个坑，分享下正确的实现方式：

核心问题：用对Vault的身份模板变量 #

Vault的策略变量不是shell风格的${user}，而是基于**实体（Entity）和别名（Alias）**的属性来引用，语法是{{<身份属性路径>}}。针对userpass认证方式，我们可以通过用户的别名名称（也就是你创建的用户名）来精准匹配路径。

正确的策略写法 #

假设你的userpass认证挂载路径是默认的userpass（如果是自定义路径，替换掉下面的userpass部分即可），可以编写如下通用策略：

path "auth/userpass/users/{{identity.entity.aliases.auth_userpass_userpass.name}}" {
  capabilities = ["update"]
  allowed_parameters = {
    "password" = []
  }
}

关键细节说明： #

• auth_userpass_userpass的命名规则是：auth_<认证方法>_<挂载路径>。比如你用vault auth enable -path=my_auth userpass开启自定义路径的认证，这里就要改成auth_userpass_my_auth。
• 这个策略会自动匹配当前登录用户的别名名称，确保用户只能修改自己的password参数，既无法修改自身的策略配置，也不能操作其他用户的账号信息。

验证效果 #

1. 将上述策略写入Vault：

vault policy write self-password-update self-password-update.hcl

2. 给目标用户关联这个策略：

vault write auth/userpass/users/mconigliaro policies=self-password-update
vault write auth/userpass/users/mconigliaro2 policies=self-password-update

3. 测试：用mconigliaro登录后，修改自己的密码会成功，但尝试修改mconigliaro2的密码或自身的policies参数时，会被Vault拒绝。

补充：更简洁的替代方案 #

如果你的实体名称和用户名完全一致，也可以用{{identity.entity.name}}来简化路径：

path "auth/userpass/users/{{identity.entity.name}}" {
  capabilities = ["update"]
  allowed_parameters = {
    "password" = []
  }
}

不过这种方式要求你创建用户时，实体名称和用户名保持绑定一致，否则可能出现匹配错误。

内容的提问来源于stack exchange，提问作者mconigliaro