Deny by default
Policies (HCL oder JSON) beschreiben erlaubte Pfade,
leere Policy = kein Zugriff. Capabilities:
create, read, update,
patch, delete, list,
sudo (root-protected Paths), deny
(gewinnt immer), subscribe (Events),
recover (Einzel-Recovery aus geladenem Snapshot,
Enterprise).
default-Policy hängt an jedem Token;
root-Policy kann alles, nie an
Alltags-Tokens.
# app-ro.hcl -- KV v2 braucht data/-Prefix!
path "secret/data/app/*" {
capabilities = ["read"]
}
path "secret/metadata/app/*" {
capabilities = ["list"]
}
Globs
* nur am Pfadende = Prefix-Match
(secret/data/bar/*).
+ = genau ein Segment, secret/data/+/team
trifft secret/data/foo/team.
vault policy write app-ro app-ro.hcl lädt
die Policy.