如何将保管库策略分配给 ldap 组/用户

Question

我正在尝试在我的应用程序中使用保险库。我使用的身份验证机制是 LDAP。我已经完成了配置，我的用户可以登录到保管库，但他们看不到我以 root 用户身份创建的任何秘密引擎。

例如，我启用了一个秘密引擎secrets/kv 并在其中创建了 2 个密钥。我想要的是我的 ldap 用户直接从 UI 读取/写入机密。我的策略文件如下所示 -

path "secret/kv"
{
  capabilities = ["read", "update", "list"]
}

path "auth/*"
{
  capabilities = ["create", "read", "update", "delete", "list", "sudo"]
}

并使用发出以下命令来写入数据 - vault write auth/ldap/groups/ldap-group policies=my-policy

用户仍然无法在 UI 上看到 kv 引擎来读取/写入机密。

如果有人可以帮助我，请告诉我。

Answer 1

此策略应该可以解决您的问题。您无需在路径前加上 secret。

path "kv/*"
{
  capabilities = ["read", "update", "list"]
}