hashicorp-vault - 有没有办法生成根本不会过期的保险库客户端 token ？

Question

我正在使用 https://www.vaultproject.io/docs/auth/approle.html生成保管库客户端 token ，但我希望它们永远不会过期。那可能吗 ？

Answer 1

不，实际上这是一个坏主意(tm)。但是你可以靠近。您可以将最大 ttl 设置为 10 年或其他内容，并使其有效地不过期。但是，从安全的角度来看，这很糟糕。这里的目标是，能够随时轻松地轮换 secret 。 IE。您看到有人窃取了登录密码，您应该能够非常快速、轻松地设置新密码，并且使用这些密码的代码/程序应该可以处理它，只需在 TTL 到期时从保险库中获取新值即可。

这适用于一切，包括保险库 token 。