新令牌不允许访问策略

Question

已设置Hashicorp Vault docker容器，但在使用生成的令牌而不是根时，似乎无法获取数据库凭据。

error occurred: permission denied

重新创建的步骤：

我创建了最新的容器，获得了根令牌并使用它进行身份验证。

运行以下命令：

export VAULT_ADDR='http://127.0.0.1:8200'
vault secrets enable database
vault auth enable approle
vault write sys/policy/test policy='path "database/roles/" {capabilities = ["create", "read", "update", "delete", "list"]} path "auth/approle/login" { capabilities = [ "create", "read" ]} path "database/creds/" {capabilities = ["create", "read", "update", "delete", "list"]} path "secret/dbcreds" {capabilities = ["create", "update", "read"]} path "sys/mounts/" {capabilities = [ "create", "read", "update", "delete", "list" ]} path "database/" { capabilities = [ "create", "read", "update", "delete", "list" ]}'
vault write database/config/mssql plugin_name="mssql-database-plugin" root_rotation_statements="ALTER LOGIN [{{username}}] WITH PASSWORD = '{{password}}'" connection_url="sqlserver://{{username}}:{{password}}@sql:1433" allowed_roles="*,test" username="***MY_USER***" password="***MY_PASS***"
vault write database/roles/Tenant_1 db_name=mssql creation_statements="CREATE LOGIN [{{name}}] WITH PASSWORD = '{{password}}';USE [Tenant_1];CREATE USER [{{name}}] FOR LOGIN [{{name}}];ALTER ROLE [db_owner] ADD MEMBER [{{name}}];" default_ttl="1h" max_ttl="24h"
vault write auth/approle/role/test secret_id_ttl=0 token_num_uses=0 token_ttl=20m token_max_ttl=30m secret_id_num_uses=0 policies="default, test"
vault read auth/approle/role/test/role-id
vault write -f auth/approle/role/test/secret-id
vault write auth/approle/login role_id=***role_id*** secret_id=***secret_id***
vault secrets enable -version=2 kv  

我还尝试将“vault write”替换为“vault kv put”，并成功执行所有命令。

所以我叫GEThttp://127.0.0.1:8200/v1/database/creds/Tenant_1，使用标题：

X-Vault-Token
**Root-Token**

它起作用了。

如果我打电话过去http://127.0.0.1:8200/v1/auth/approle/login使用有效的角色/机密id，我成功地取回令牌。但是，如果我尝试在GET调用中使用此令牌而不是根，则会拒绝权限。

查看策略配置，在我看来/database/creds是策略的一部分。

如果我对生成的令牌进行查找：

Key                 Value
---                 -----
accessor            PNe8WQiXnZvlFNEJekXO2es4
creation_time       1555517775
creation_ttl        20m
display_name        approle
entity_id           acc7558b-02b1-328d-4705-74f00ab9524b
expire_time         2019-04-17T16:36:15.6815637Z
explicit_max_ttl    0s
id                  s.iGkfsCUS6JX58SiDl8pfFN2K
issue_time          2019-04-17T16:16:15.6815627Z
meta                map[role_name:test]
num_uses            0
orphan              true
path                auth/approle/login
policies            [default test]
renewable           true
ttl                 16m35s
type                service

我看起来不错！？

有什么想法吗？

Answer 1

好吧，这浪费了好几个小时，但是对于其他有类似问题的人来说，有一个解决方案。

我的策略从最后开始就丢失了/*，因此即使令牌有效，它也没有访问这些凭据的权限。