hashicorp-vault - 仅允许列出角色子集的策略

Question

我正在使用 Vault 的 SSH PKI 机密引擎并定义了多个角色

pki/
   role1
   role2
   role3
   ...

我想通过 Web GUI 授予对角色的访问权限。因此，根据我的理解，我必须指定一个列表策略：

   path "/ssh/*" {
       capabilities = ["list"]
   }

分配有此策略的用户可以查看后面的所有已配置角色/ssh/。有没有办法让策略只允许查看一个子集，比如说role1？

我检查了有关政策的文档，但实际上找不到任何东西。我也试过

   path "/ssh/role1" {
       capabilities = ["list"]
   }

这没有用。

Answer 1

权限应该是：

 path "/<pki-engine-path>/roles" {
       capabilities = ["list"]
   }

默认：

 path "/pki/roles" {
       capabilities = ["list"]
   }