修复 OCI Vault 身份验证的跨租户配置中的 HTTP 401 错误

使用实例主体解决 HashiCorp Vault OCI 身份验证中的 HTTP 401 错误

使用 Python 和 OCI SDK 的后端脚本通过实例主体对 Vault 进行身份验证

import oci
import hvac
import os
# Initialize OCI config and vault client
config = oci.config.from_file()  # or config = oci.config.validate_config(oci.config.DEFAULT_LOCATION)
client = oci.identity.IdentityClient(config)
# Verify instance principal and get metadata
auth = oci.auth.signers.InstancePrincipalsSecurityTokenSigner()
metadata = client.list_instances(compartment_id='your_compartment_id')
# Connect to HashiCorp Vault
vault_client = hvac.Client(url=os.getenv('VAULT_ADDR'))
vault_login_path = 'v1/auth/oci/login'
response = vault_client.auth.oci.login(role='your_role', auth=auth, metadata=metadata)
if response['auth']:  # Successful authentication
    print("Vault login successful")
else:
    print("Vault login failed")

使用 Terraform 进行策略设置的跨租户身份验证解决方案

用于配置跨租户策略和权限的 Terraform 脚本

provider "oci" {
  tenancy_ocid       = var.tenant_A
  user_ocid          = var.user_ocid
  fingerprint        = var.fingerprint
  private_key_path   = var.private_key_path
  region             = var.region
}
resource "oci_identity_policy" "cross_tenant_policy" {
  compartment_id = var.compartment_id
  name           = "cross_tenant_policy"
  description    = "Policy for accessing Vault in tenant B from tenant A"
  statements     = [
    "Allow dynamic-group TenantBGroup to manage vaults in tenancy TenantA"
  ]
}
resource "oci_identity_dynamic_group" "tenant_b_group" {
  name        = "TenantBGroup"
  description = "Dynamic group for tenant B resources"
  matching_rule = "instance.compartment.id = 'tenant_A_compartment_id'"
}

使用 Python 的 Unittest 进行单元测试身份验证过程

使用Python的unittest进行后端单元测试来验证Vault登录

import unittest
from vault_login_script import vault_login_function
# Test Vault login function
class TestVaultLogin(unittest.TestCase):
    def test_successful_login(self):
        self.assertTrue(vault_login_function())
    def test_failed_login(self):
        self.assertFalse(vault_login_function())
if __name__ == '__main__':
    unittest.main()

有关 OCI 和 Vault 跨租户身份验证的常见问题解答

1. 为什么我在登录 Vault 时收到 401 错误？
2. 该错误可能是由于跨租户设置中 OCI 策略、动态组或 HashiCorp Vault 角色配置不正确而导致的。
3. 如何在 OCI 中配置跨租户访问策略？
4. 您需要使用创建策略 oci_identity_policy 明确允许来自其他租户的动态组的访问。
5. OCI 中的动态组是什么？
6. 动态组是 OCI 资源（例如实例）的集合，由匹配规则定义，例如 matching_rule 这是基于实例属性的。
7. 如何使用实例主体进行身份验证？
8. 您可以使用 InstancePrincipalsSecurityTokenSigner 命令在跨租户场景中对 OCI 实例进行身份验证，无需硬编码凭据。
9. 我可以将 Vault 与不同租户中的实例一起使用吗？
10. 是的，但您必须配置 OCI 和 Vault 以识别和授权跨租户访问。

关于跨租户 Vault 身份验证的最终想法

解决 OCI Vault 身份验证中的 HTTP 401 错误通常可以归结为更正策略配置并确保 Vault 和 OCI 中的角色正确对齐。跨租户设置需要仔细管理动态组和权限。

通过彻底检查两个租户的配置并确保正确建立角色、动态组和策略，您可以有效解决身份验证错误。这种方法可确保 Oracle 云基础设施中租户之间的安全、无缝访问。