А кто может подсказать про политики vault? Столкнулся со странной наркоманией. Нужно

дать права на диру с секретами, типа

path "org/svc/dev/api/app/" {
capabilities = ["read", "list"]
}

Но эта шняга начинает работать только тогда, когда даешь права на саму корневую директорию со звездочкой, например вот так:

path "org/*" {
capabilities = ["read", "list"]
}

Получается что если надо много директорий с разными политиками - их надо пихать в корень, но это выглядит как порнография. Можно ли это как-то обойти?

6 ответов

12 просмотров

org/svc/dev/api/app/* Не срабатывает?

Aleks-Michajlow Автор вопроса

нет :( Вообще такое впечатление, что работает только правило "org/*", а все остальное - нет. пробовал правила типа path "org/svc/dev/api/supersecret/*" { capabilities = ["deny"] } но они тоже не работают

Не надо воспринимать волтовые пути как "директории", здесь скорее семантика префиксов. Если ты при запросе будешь указывать полный путь, то политика будет работать.

Aleks-Michajlow Автор вопроса

почему-то заработало с таким путем в политике org/data/svc/dev/api/app/ то есть он в путе захотел увидеть data . Почему так - пока хз

Потому что это особенности использования kv2 бекенда, о котором ты ничего не сказал в своём вопросе.

Aleks-Michajlow Автор вопроса

вероятно потому что я не знал, что оно чем-то отличается от kv

Похожие вопросы

Обсуждают сегодня

Ребят, а за скок можно впарить анон чат с апишкой и веб админкой ?
Eugene Неелов
15
Подскажите как мне лучше держать websocket сединение и переодически передавать в него данные? Сначала я сделал так: for _ in 1...1000 { try? await ws.send("test") try...
Mihail Verenich
2
Ты просто гитлеровскую эстетику плохо понимаешь. Он же всё под Цезаря делал. А это как бы запрещённый приём в политике. Пиджаки они зачем все носят? Чтобы показать что они тип...
Ivan Kropotkin
4
А цены чем оправданы?
Lencore
7
Добрый день, подскажите как правильно сделать filter в backend-e. Есть модель (товар) у который связь belongsToMany (компания), компаний > 4k, поэтому выборку типа ->all(); н...
Max Dubovsky
7
а чем лучше всего сделать глобальный лок, если много нодов, до сотни? ну то есть мне надо, чтобы некоторые операции с объектом не происходили одновременно. перемещение между н...
Д. П.
15
А как лучше конвертировать физический адрес в виртуальный при маппинге? В случае ядра у меня, например, direct mapping, первые 768МБ я как есть мапплю в higher half, а остальн...
Evg Resh
26
Или к тому, что возложить ответственность на команду OTP, это хорошо, а взять её на себя, это не хорошо? )
Юрий Жлоба
7
'frakturBold' => ['𝖆', '𝖇', '𝖈', '𝖉', '𝖊', '𝖋', '𝖌', '𝖍', '𝖎', '𝖏', '𝖐', '𝖑', '𝖒', '𝖓', '𝖔', '𝖕', '𝖖', '𝖗', '𝖘', '𝖙', '𝖚', '𝖛', '𝖜', '𝖝', '𝖞', '𝖟', '𝕬', '𝕭', '𝕮', '𝕯'...
Roma
4
Добрый день, не подскажите, если в OC-V3 поменять страндартную директорию /storage/ на /storage2/ - не будет сильно много проблем ?
Max Dubovsky
32
Карта сайта