GUIDE TECHNIQUE · HASHICORP VAULT
HashiCorp Vault : Écrire des policies ACL minimales
Écrire une policy Vault à privilèges minimaux pour un chemin KV v2 et tester lecture, écriture et refus à partir de tokens de recette.
L’ESSENTIEL EN BREF
Les étapes clés
Ce guide présente 4 étapes, de « Définir la matrice des droits » à « Tester les accès autorisés et refusés ».
Avant de commencer : Mount KV v2 de recette.
01 · CADRAGE
Périmètre et résultat visé
Résultat attendu : La policy cible seulement le chemin requis.
Public concerné : Administrateurs Vault, IAM et équipes DevSecOps
Vault ACL policies HCL et KV v2 ; chemins data et metadata distincts.
Contrôlez les versions, les droits et les options disponibles dans votre environnement avant de suivre la procédure.
02 · AVANT DE COMMENCER
Prérequis et points de contrôle
- Mount KV v2 de recette.
- Rôle administrateur limité à la création de policies de laboratoire.
- Matrice des accès lecture, écriture et refus documentée.
03 · VUE D’ENSEMBLE
Comprendre l’architecture et les flux
04 · TUTORIEL
Procédure complète, étape par étape
Suivez les étapes dans l’ordre et contrôlez chaque résultat avant de poursuivre. Renseignez les paramètres adaptés à votre environnement.
ÉTAPE 1 / 4
Définir la matrice des droits
Une règle wildcard trop large compromet l'isolation.
- Choisir un chemin unique kv-lab/data/app.
- Distinguer lecture de l'écriture et métadonnées.
# Matrice : app-reader => read sur kv-lab/data/appÀ vérifier : Les permissions nécessaires sont identifiées.
Point de vigilance : Ne pas donner sudo ou root au rôle applicatif.
ÉTAPE 2 / 4
Créer une policy HCL
La policy doit porter sur le chemin API réel de KV v2.
- Créer app-reader.hcl.
- Restreindre explicitement les capabilities.
path "kv-lab/data/app" {
capabilities = ["read"]
}À vérifier : La règle autorise seulement la lecture des données du chemin cible.
Point de vigilance : L'accès à metadata nécessite une règle supplémentaire si la commande ou l'UI en dépend.
ÉTAPE 3 / 4
Charger et associer la policy
L'association au token doit être traçable.
- L'administrateur charge la policy en recette.
- Créer une identité de lecture via la méthode d'authentification prévue.
vault policy write app-reader app-reader.hcl
vault policy read app-readerÀ vérifier : La policy stockée correspond au fichier relu.
Point de vigilance : Éviter de créer un token root pour valider une application.
ÉTAPE 4 / 4
Tester les accès autorisés et refusés
Une policy est vérifiée par un cas négatif.
- Avec une session à droits limités, essayer GET.
- Tester une écriture : elle doit être refusée.
vault kv get kv-lab/app
# Avec un token de lecture seule :
# vault kv put kv-lab/app test=interdit => permission deniedÀ vérifier : La lecture est autorisée et l'écriture refusée.
Point de vigilance : Ne pas lancer le test d'écriture avec une session administrateur.
RÉFÉRENCES TECHNIQUES
Documentation officielle
Retrouvez les prérequis, les fonctionnalités et les versions prises en charge par HashiCorp Vault. Vérifiez les commandes sur un environnement de test avant leur utilisation en production.
05 · RECETTE
Comment vérifier que tout fonctionne ?
La policy cible seulement le chemin requis.
La lecture fonctionne avec le bon token.
L'écriture non autorisée est refusée.
06 · DIAGNOSTIC
Problèmes fréquents et résolution
403 permission denied
Cause probable : Chemin KV v2 incorrect ou droits absents
Que faire : Contrôler data et metadata.
Lecture possible partout
Cause probable : Wildcard trop permissif
Que faire : Réduire les paths.
Token avec droits inattendus
Cause probable : Autres policies associées
Que faire : Inspecter les policies du token.
07 · QUESTIONS PRATIQUES
Questions fréquentes
Qu'est-ce qu'une capability ?
Un droit tel que read, create, update ou list sur un chemin.
data et metadata sont-ils identiques ?
Non : KV v2 utilise des endpoints distincts.
Une policy root est-elle adaptée à un service ?
Non, réserver les privilèges de contrôle aux administrateurs prévus.
AUTRES TECHNOLOGIES
Guides complémentaires
VOTRE ENVIRONNEMENT
Besoin d’aller plus loin sur votre environnement ?
Automatisation, sécurité et exploitation : échangeons sur vos pratiques HashiCorp Vault.
Échanger avec ADN Consulting