HashiCorp Vault 租赁和令牌访问器有什么区别？

Question

在 HashiCorp Vault 中，当您创建服务令牌时，会创建一个租约，并且您会获得一个令牌访问器。

租约 ID 描述为：

这是与

vault lease renew

 和 

vault lease revoke

 等命令一起使用的 ID，用于管理密钥的租用。

vault lease

命令不适用于服务令牌，但服务令牌也可以获得租约，因此存在这个概念。

令牌访问器被记录为具有一组有限的操作，其中更新和撤销令牌的能力是四个此类操作中的两个。

所以从我的角度来看，租约和访问器似乎有一些重叠的功能。有什么区别？

Answer 1

Vault 令牌租赁 ID 和 Vault 令牌访问器确实具有两个重叠的功能项：

更新令牌
撤销令牌

令牌访问器还允许：

查找代币的属性（不包括实际代币 ID）
查找路径上令牌的功能

因此，根据最小权限原则，您应该使用租约 ID 进行令牌更新和撤销，并且仅当您另外需要有关令牌本身及其由相关 Vault 策略授权的功能的信息时才使用令牌访问器。