403 Permission Denied при попытке чтения секретов из Vault с использованием аутентификации GCP IAM

Я использую метод аутентификации GCP IAM для аутентификации в хранилище. Я выполнил шаги, предложенные в vault gcp auth для аутентификации с использованием учетной записи службы

Я смог успешно пройти аутентификацию и войти в систему. Но когда я пытаюсь прочитать секреты по указанному пути, он говорит, что в разрешении отказано.

$vi test-policy.hcl

path "secret/test/*" {
     capabilities = ["read"]
}

У меня есть следующие роли, назначенные моей учетной записи службы.

  1. Администратор учетной записи службы
  2. Администратор ключа служебного аккаунта
  3. Создатель токена сервисного аккаунта
vault kv get secret/test/awskeys
Error reading secret/data/test/awskeys: Error making API request.

URL: GET http://127.0.0.1:8200/v1/secret/data/test/awskeys
Code: 403. Errors:

* 1 error occurred:
* permission denied

У меня такая же проблема с приложением spring-cloud-vault. Есть ли какая-то роль, которую я пропустил для назначения этой учетной записи службы, или я неправильно настроил политику?

Примечание. Vault Server настроен на AWS.


amazon-web-services google-cloud-iam hashicorp-vault spring-cloud-vault-config
person spark_dream    schedule 28.01.2020    source источник

Ответы (1)


arrow_upward
2
arrow_downward

Это был параметр политики. Я обновил его до ниже, и это сработало! Конкретный путь вместо *.

path "secret/data/test/awskeys" {
  capabilities = ["read"]
}
person spark_dream    schedule 28.01.2020