如何在spring boot中使用非根保险库令牌进行保险库登录

Question

我对保险库使用默认令牌身份验证方法。同时在Spring Boot应用程序中集成了vault和spring cloud config server。根令牌有超级用户访问，这使得能够为应用程序读/写机密，但我需要创建一个非根令牌，它只登录到保险库，不读/写任何机密。这样就不会强制使用vault，并且应用程序使用vault启动。当用户特别想使用vault时，可以提供自己的令牌和访问秘密。

Answer 1

这是我还没有尝试过的，但我已经使用了限制非根令牌的读访问。

您可以创建具有deny功能的策略，如下所示：

$cat auth-policy.hcl 
path "secret/*" {
  capabilities = ["deny"]
}


vault policy write client-access auth-policy.hcl                         
Success! Uploaded policy: client-access

下面是为保险库策略定义的不同功能--https://www.vaultproject.io/docs/concepts/policies.html#capabilities。

vault token create -policy=client-access -period=768h                                    

Key                Value                                                        
---                -----                                                        
token              *********************                         
token_accessor     *********************                         
token_duration     768h                                                         
token_renewable    true                                                         
token_policies     [client-access default]  

这将创建一个有效期为768小时的令牌，这是默认情况下的最大值。如果要为新令牌配置更多时间，请在基config.hcl中相应地配置max_lease_ttl和default_lease_ttl

$cat config.hcl
disable_mlock =  true
storage "postgresql" {
    connection_url =  "postgres://vault:vault@postgresql:5432/postgres?sslmode=disable"
}   
listener "tcp" {    
    address =  "0.0.0.0:8200" 
    tls_disable =  1
}
max_lease_ttl = "7200h"
default_lease_ttl = "7200h"

希望这能有所帮助！