Hashicorp Vault: Readonly策略不起作用
HashiCorp Vault是一个开源的工具，用于安全地存储和访问敏感数据，如API密钥、数据库凭据、密码等。它提供了一种集中式的方式来管理和保护这些敏感数据，并通过访问控制策略来确保只有授权的用户可以访问。
在Vault中，策略是用于定义访问控制规则的一种机制。Readonly策略是一种常见的策略，它允许用户只读访问特定的机密数据。然而，如果Readonly策略不起作用，可能有以下几个原因和解决方法：
- 策略配置错误：首先，需要检查策略配置是否正确。确保策略中指定了正确的路径和权限。可以通过检查Vault的策略文件或使用Vault的API来验证策略配置。
- 身份验证问题：如果Readonly策略不起作用，可能是因为用户的身份验证出现了问题。确保用户已经通过正确的身份验证方式登录，并且拥有正确的访问权限。
- Vault版本问题：某些Vault版本可能存在一些已知的问题或错误。在这种情况下，可以尝试升级到最新的Vault版本，以解决可能存在的问题。
- 日志和审计：启用Vault的日志和审计功能，可以帮助跟踪和排查策略不起作用的问题。通过查看日志和审计记录，可以了解到底是哪个环节出现了问题，并进行相应的调整和修复。
总结起来，如果HashiCorp Vault的Readonly策略不起作用，需要检查策略配置、身份验证、Vault版本以及启用日志和审计功能等方面的问题。如果问题仍然存在，可以参考Vault的官方文档或寻求HashiCorp的支持来获取进一步的帮助和解决方案。
腾讯云相关产品和产品介绍链接地址：
- 腾讯云密钥管理系统（KMS）：https://cloud.tencent.com/product/kms
- 腾讯云访问管理（CAM）：https://cloud.tencent.com/product/cam
- 腾讯云日志服务（CLS）：https://cloud.tencent.com/product/cls
- 腾讯云云审计（CloudAudit）：https://cloud.tencent.com/product/cloudaudit
相关·内容
我正在探索Hashicorp Vault，并且正在尝试创建一个只读策略。此策略应仅允许用户读取密钥。以下是策略定义： capabilities = ["read", "list"]我正在尝试读取secrets/transit下的密钥(接口调用：)bash-5.1# vault read transit/
浏览 23提问于2021-05-31得票数 0
我们在k8s上的hashicorp保险库部署(在前提上)似乎在几天后封闭了自己。我无法找到一种方法来保持它始终是公开的，这样使用它的应用程序就不会失败。
浏览 7提问于2020-06-17得票数 1
我在开发者模式的docker容器中本地运行Hashicorp Vault v1.1.0。我使用exec进入容器来使用cli，并且我无法使用策略和令牌完成基本的概念证明，这些策略和令牌只允许我访问一个秘密。 下面是我使用secrets引擎的v2执行的操作的文字记录。我在这里做错了什么？=myroot vault policy write message-readonly p.hcl
&#
浏览 12提问于2019-04-12得票数 2
回答已采纳
部署应用程序时出现了以下错误：
quarkus.vault.kv-secret-engine-version=2
我在hashicorp中的策略是相同的，并为这个
浏览 2提问于2022-07-19得票数 0
使用下面的安装程序无法读取存储在path / below /apims/ABC_CONFIG中的秘密 vault policy write policy_name - <<EOF capabilities = ["read"]在Vault中创建的角色
vault write auth/kubernete
浏览 1提问于2020-07-15得票数 1
回答已采纳
我们正在使用Hashicorp vault和Consul作为存储，我们希望为Vault实施强大的备份和恢复策略。
我们特别希望在构建新的Vault服务器时备份所有vault数据并将该文件用作存储。
浏览 2提问于2019-10-04得票数 4
这是一个hashicorp保管库策略，因此它允许访问保管库中的任何资源和路径吗？出于明显的安全原因，我希望在不向任何人授予根令牌访问权限的情况下启用管理策略。
浏览 20提问于2020-08-21得票数 3
2回答
-install vault hashicorp/vault --set "injector.externalVaultAddr=$VAULT_ADDR"管理策略path "*" {
capabilities = ["create", "read", "update", &qu
浏览 11提问于2021-11-04得票数 2
回答已采纳
我正在尝试部署Hashicorp Vault Helm图表，我得到了以下问题：Error: container's runAsUser breaks non-root policy是否有方法以非根用户身份运行Vault？或者，有没有一种方法可以只允许该服务以root身份运行，而不更改整个策略？
浏览 72提问于2020-04-03得票数 1
回答已采纳
OpenShift ConfigMap for Jenkins pod模板： <key>vault.hashicorp.comorg.csanchez.jenkins.plugins.kubernetes.PodAnnotation>apiVersion: "v1"metadata: vaul
浏览 4提问于2022-11-04得票数 1
回答已采纳
我试图将策略分配给ldap组/用户，以便用户可以访问auth方法，但它似乎不起作用。这是我的情况。我有一个策略名-具有功能的test-ldap-group： capabilities = ["create", "read", "update", "delete","list"] capabilitie
浏览 23提问于2021-02-02得票数 0
因此，目前我正在通过Hashicorp学习Vault，我正在尝试理解使用GitHub令牌进行身份验证的概念。在GitHub中创建令牌时，可以为该令牌指定策略，我想知道这些策略是否会影响分配给该用户的存储库策略，因为操作员首先会创建策略并映射它们。
提前谢谢。
浏览 1提问于2018-05-14得票数 0
我目前正在为K8s在Vault上做一个K8s，但是在一个示例应用程序中我遇到了一些问题。我创建了一个与角色关联的服务帐户，该帐户随后与允许服务帐户读取机密的策略相关联。matchLabels: replicas: 1 metadata: vault.hashicorp.com/agent-inject: "true"
vault</e
浏览 9提问于2022-08-30得票数 0
我正在考虑使用GitHub个人访问令牌作为登录我公司的Hashicorp Vault实例的一种方式。
他们有没有办法审计我们GitHub团队成员使用的个人访问令牌的使用年限？
浏览 2提问于2019-09-27得票数 0
因此，我需要将.env文件存储在某个地方，以便进行停靠-撰写。一种方法是将它们的内容存储在gitlab CI/CD中隐藏的变量中，但对我来说似乎不安全，因为黑客攻击了相当多的应用程序，只需要有人破解gitlab帐户。如何将.env文件复制到所有作业中，而不将它们上传到gitlab？before_script:
浏览 11提问于2022-05-28得票数 1
回答已采纳
我使用了以下配置来测试它(使用适当的保险库策略/后端auth)：apiVersion: v1metadata: metadata: app: nginx version: vault-injectorannotations:
vault.hashicorp.com/agent-inject:
浏览 9提问于2020-09-04得票数 3
2回答
我们正在使用HashiCorp的访问Vault。并且有一个简单的代码来更新在幕后调用/v1/auth/token/renew-self Vault API的令牌。client = hvac.Client(
浏览 1提问于2018-06-26得票数 1
我是新来Hashicorp Vault的。我想知道是否有一种方法可以利用SPIFFE协议自动向Vault进行身份验证，这样基于vault客户端的mTLS证书，Kubernetes/Istio中的工作负载就可以作为特定用户(实体？)访问Vault。或组。发出请求的k8s工作负载只能根据其SPIFFE身份的存储库权限访问存储库机密。 我希望不需要传递保险库凭证(令牌、密码等)，访问将完全在mTLS连接和SPIFFE协议上授予。如果Vault位于Kubernetes集群之外(因此不能
浏览 26提问于2021-03-28得票数 0
回答已采纳
我正在探索Hashicorp以获得安全的存储。我有一个根帐户设置，我已经登录到UI并通过UI创建了下面的给定策略。策略名为app-readonly。我的政策如下 capabilities = ["read"]我执行了下面的命令，作为根用户创建一个令牌
vaulttoken create -policy=app-readonly -di
浏览 6提问于2022-03-05得票数 0
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
腾讯云开发者
