[Hashicorp保管箱：策略为允许创建策略的用户提供的限制权限

Question

我想到了将创建策略的权利委托给用户的想法。分配给该用户的策略为：

path "sys/policies/acl/user-*"
{
  capabilities = ["create", "read", "update", "delete", "list"]
}

现在，由于用户可以在路径sys / policies / acl / user- *中创建策略，因此该策略可以包含对Vault中任何路径的任何权利，这当然不是我想要实现的。我想将此策略创建权限限制为给定路径。保管箱有任何可能吗？

Answer 1

有两种方法可以做到这一点：

购买具有定点支持的保险柜（我认为这是企业版）
1. [创建另一个在创建策略时将与Vault联系的服务，然后编写自己的解析器以允许/拒绝。它不会太糟，因为策略hcl config语言可以转换为JSON，一旦有了JSON，您就可以解析路径并找出其是否为有效策略。