当我启用 HashiCorp Vault 机密引擎时，例如kv 并添加一个秘密，这是否可以跨保险库用户访问？

Question

当我启用 HashiCorp Vault 机密引擎时，例如kv 并添加一个秘密，这是跨保险库用户访问的吗？如果我将秘密引擎添加为根用户，我添加到 HashiCorp Vault 的任何用户都可以访问它吗？

我的想法似乎违背了保管库的目的，但我想知道用户是否创建了一个秘密并将其嵌入到应用程序中并且该员工离开了公司。

Answer 1

When I enable a HashiCorp Vault secrets engine e.g. kv and add a secret, is this accessible across vault users?

每个用户都有附加到她的权限，它们被称为策略。如果这些权限允许访问，则用户可以访问。

您可能需要查看官方文档https://www.vaultproject.io/docs/concepts/policies

If I add the secrets engine as the root user, is this accessible to any users that I add to HashiCorp Vault?

谁创建的秘密并不重要（提示：除了初始设置外，不建议使用 root 进行任何操作）。

举个例子，您可以拥有可以创建机密的用户

path "kv/foo" {
  capabilities = ["create"]
}

以及只能消费的用户，例如

path "kv/foo" {
  capabilities = ["read"]
}