Hashicorp Vault：限制策略赋予用户创建策略的权限

Question

我想出了将创建策略的权利委托给用户的想法。分配给该用户的策略是：

path "sys/policies/acl/user-*"
{
  capabilities = ["create", "read", "update", "delete", "list"]
}

现在用户可以在路径 sys/policies/acl/user-* 中创建策略，这样的策略可以包含对 Vault 中任何路径的任何权限，这当然不是我想要实现的。我想将此策略创建权限制为给定路径。这在 Vault 中是否有可能？

Answer 1

有两种方法可以做到这一点：

1. 购买带有 Sentinel 支持的 Vault（我相信那是企业版）
2. 创建另一个在创建策略时将与 vault 通信的服务，然后编写您自己的解析器以允许/拒绝。它不会那么糟糕，因为策略 hcl 配置语言可以翻译成 JSON，一旦你有了 JSON，你就可以解析路径并确定它是否是一个有效的策略。