403尝试使用GCP IAM身份验证从存储库读取机密时拒绝权限

Question

我正在使用GCP IAM身份验证方法对存储库进行身份验证。我按照vault gcp authto中的建议执行了使用服务帐户进行身份验证的步骤

我能够成功地进行身份验证和登录。但当我试图从指定路径读取机密时，它显示权限被拒绝。

$vi test-policy.hcl

path "secret/test/*" {
     capabilities = ["read"]
}

我有以下角色分配给我的服务帐户。

1. 服务帐户管理
2. 服务帐户密钥管理
3. 服务帐户令牌创建者

vault kv get secret/test/awskeys
Error reading secret/data/test/awskeys: Error making API request.

URL: GET http://127.0.0.1:8200/v1/secret/data/test/awskeys
Code: 403. Errors:

* 1 error occurred:
* permission denied

我在使用spring云存储应用程序时也遇到了同样的问题。是否有我错过分配给此服务帐户的角色，或者是否设置了错误的策略？

注意：存储库服务器是在AWS上设置的。

Answer 1

这是政策设定。我把它更新到下面，它工作了！特定路径而不是*。

path "secret/data/test/awskeys" {
  capabilities = ["read"]
}