Hashicorp Vault：为允许创建策略的用户限制策略赋予的权限

Question

我想出了将创建策略的权限委托给用户的想法。分配给此用户的策略是：

path "sys/policies/acl/user-*"
{
  capabilities = ["create", "read", "update", "delete", "list"]
}

现在，由于用户可以在路径sys/policies/acl/user-*中创建策略，这样的策略可以包含对Vault中任何路径的任何权限，这当然不是我想要实现的。我想将此策略创建权限限制在给定的路径上。这在金库里有可能吗？

Answer 1

有两种方法可以做到这一点：

1. 购买有哨兵支持的保险库（我相信这是企业版）
2. 创建另一个在创建策略时将与vault对话的服务，然后编写自己的解析器来允许/拒绝。它不会那么糟糕，因为策略hcl配置语言是可翻译成JSON的，一旦您有了JSON，您就可以解析路径并确定它是否是一个有效的策略。