hashicorp-vault - 为什么创建 token 会导致 "parent token lookup failed"

Question

我在使用 salt 为 hashicorp-vault 创建 token 时遇到问题。

创建 token :

$ curl --header "X-Vault-Token: f3821c23-4558-72db-8739-bbf7ac4b90d1" \
       --request POST \
       --data @create_token.json \
       http://127.0.0.1:8200/v1/auth/token/create

{"request_id":"72ba8117-fcb8-506d-f1c4-fe0e5e0f5cbf","lease_id":"","renewable":false,"lease_duration":0,"data":null,"wrap_info":null,"warnings":["Policy \"saltstack/minion/myhost\" does not exist"],"auth":{"client_token":"96bfd0f2-a10a-d966-2d46-3f803fb1d995","accessor":"8a0a296f-d19a-e01c-4782-0fbab06a6ebe","policies":["default","saltstack/minion/admin.p13","saltstack/minions"],"metadata":null,"lease_duration":2764800,"renewable":true,"entity_id":""}}

使用第一个操作的 client_token 创建子 token 。

$ curl --header "X-Vault-Token: 96bfd0f2-a10a-d966-2d46-3f803fb1d995" \
       --request POST \
       --data @test.json \
       http://127.0.0.1:8200/v1/auth/token/create

{"errors":["parent token lookup failed"]}

使用的有效负载:

文件create_token.json

{"policies": ["saltstack/minion/myhost", "saltstack/minions"], "num_uses":1}

文件test.json

{"num_uses": 0, "policies": ["default", "myapp"], "ttl": "1h", "no_parent": true, "renewable": true, "metadata": {"user": "root"}}

Answer 1

孤儿 token 只能创建:

• 通过 auth/token/create-orphan端点
• 通过拥有 sudo访问 auth/token/create 时的能力或根策略并将孤立参数设置为true

这意味着您的初始 token 没有与之关联的根策略。正如您在下面的政策列表中所看到的，

"policies":["default","saltstack/minion/admin.p13","saltstack/minions"],"metadata":null,"lease_duration":2764800,"renewable":true,"entity_id":""}}

此外，

如果您使用 salt，那么您的 Master token 必须具有在 minion 中创建新 token 的权限，然后您可以使用 vault.write_secret 创建新 token 。