Service vs. Batch
Service-Tokens (hvs.): renewbar,
revozierbar, Accessor, können Child-Tokens erzeugen, Zustand im Storage.
Batch-Tokens (hvb.):
verschlüsselter Blob ohne Storage-Eintrag, nicht renewbar,
kein Child, leichtgewichtig für hohe Last.
TTL, Renewal, Orphan
Jedes Nicht-Root-Token hat eine TTL; Renewal verlängert bis zur Max-TTL (System-Default 32 Tage, konfigurierbar). Periodic Tokens leben beliebig lang, solange sie pro Periode renewed werden; explicit max TTL setzt eine harte Grenze.
Revoke eines Tokens revoked seine Child-Tokens mit, Orphan-Tokens haben keinen Parent und überleben.
vault token create -policy=app-ro -ttl=1h vault token renew <token> vault token lookup # eigenes Token vault token revoke -accessor <accessor>