hashicorp-vault - 在策略路径中使用 token 的用户名

Question

我有一个 Vault 服务器，用户将在其中使用 Userpass 登录身份验证方法和使用 kv secret 引擎。
结构如下-

  -- user-kv
         -- u1
              -- u1-secret1
              -- u1-secret2
         -- u2
              -- u2-secret1
              -- u2-secret2
         -- u3
              -- u3-secret1

在这里， u1 , u2 , u3是使用 Userpass 登录的用户的用户名授权。
现在，对于每个用户，我只想允许访问他的路径。他的路径指的是这个结构 user-kv/<username>/例如 -

u1 --> user-kv/u1/*
u2 --> user-kv/u2/*
u3 --> user-kv/u3/* 
and so on....

我目前正在通过为每个用户创建单独的策略并将其分配给他来做到这一点。我认为这不是正确的方法，因为当用户数量增加时，将很难维护。
有没有办法在策略的路径中指定登录用户的用户名。就像是 -

path user-kv/{{username}}/* {
     capabilities = ["read", "update", "create" ]
}

我曾尝试使用模板化策略，但它不起作用。

路径 user-kv/{{identity.entity.metadata.username}}/*

路径 user-kv/{{identity.entity.name}}/*

我可以做类似 user-kv/+/* 的事情但这意味着每个用户都可以访问其他人的路径。
谁能指出更优雅的方法或提供进一步研究的链接？

Answer 1

我目前没有运行 Vault 来检查这一点，抱歉，但我相信您尝试的模板化策略应该有效。关键是创建一个与 userpass 用户相关联(通过别名)的身份。我已经有一段时间没有这样做了，所以我不记得细节了，但请查看文档:https://www.vaultproject.io/docs/secrets/identity