Sujet :
vault policy pour app role qui arrive pas à générer de creds rds
RÉSOLU
Liste des sujets Répondre Créer un sujet
Membre depuis le 08/07/2024
Salut à tous je galère à faire marcher une policy vault pour un app role. j'ai un app role qui est censé récupérer des creds rds dynamiques mais quand je fais un vault read il me dit permission denied. la policy est super simple pourtant je pige pas ce qui manque.
# vault policy write my-app-policy - <et le app role est lié à cette policy.
Répondre
vous devez être connecté pour poster un message !
Rejoindre la communauté
Recevoir les derniers articles gratuitement en créant un compte !
S'inscrire
rmaillard
Membre depuis le 02/07/2024
hello alors y'a plusieurs trucs à checker. d'abord est-ce que ton engine database est bien monté à database/ ? et est-ce que le rôle my-rds-role existe bien sous database/roles/my-rds-role ? souvent c'est un mismatch dans le path entre la policy et le rôle réel ou l'engine mount point.
fournier-philippe
Membre depuis le 08/07/2024
oui l'engine est monté à database/ et le rôle existe bien à database/roles/my-rds-role. je l'ai créé hier et j'ai testé avec le root token ça marche bien ça génère les creds. c'est vraiment que pour l'app role avec cette policy
tristan-morin
Membre depuis le 02/07/2024
hmm ok regarde dans les logs d'audit de vault si tu as un detailed message pour le permission denied. ça peut donner des indices. et t'as bien attaché la policy à l'app role ou au token généré par l'app role ? c'est pas la même chose.
fournier-philippe
Membre depuis le 08/07/2024
ah putain c'était ça ! j'avais bien attaché la policy à l'app role mais j'avais oublié que le secret backend avait besoin d'une permission sur les chemins "database/config" et "database/connect" pour l'initialisation. c'était pas dans ma policy simple pour le "read". j'ai ajouté ça et c passé. thx pour les pistes les gars