如何将Vault策略分配给ldap组/用户

Question

我正在尝试在应用程序中使用保管库。我使用的身份验证机制是LDAP。我已经完成配置，我的用户可以登录到Vault，但是他们看不到我作为root用户创建的任何秘密引擎。

例如，我启用了一个秘密引擎secrets/kv并在其中创建了2个密钥。我想要的是ldap用户直接从UI读取/写入机密。我的政策文件看起来像这样-

path "secret/kv"
{
  capabilities = ["read", "update", "list"]
}

path "auth/*"
{
  capabilities = ["create", "read", "update", "delete", "list", "sudo"]
}

并使用发出以下命令来写入数据- vault write auth/ldap/groups/ldap-group policies=my-policy

仍然使用户看不到UI上的kv引擎来读取/写入机密。

让我知道是否有人可以帮助我。

Answer 1

此政策应该可以解决您的问题。您不需要在路径前加上 secret。

path "kv/*"
{
  capabilities = ["read", "update", "list"]
}