Vault 代理程序: 添加一个明确的 API,以在不重启的情况下轮换选定的 pkiCert 模板
作者: sgabenov创建于 2026年9月21日更新于 2026年9月21日
**您的功能请求是否与问题有关?请描述。** 运营人员需要明确重新发行由单个 `pkiCert` 模板管理的证书,渲染替换并运行该模板的配置 `exec`,而无需重启 Vault Agent 或强制自动身份验证以获取不同的令牌。 一个外部调度程序,例如 systemd 定时器,可以决定证书何时有资格进行轮换以及维护窗口何时打开。缺少的操作是要求运行中的 Agent 执行轮换。这是 #32101 的一个更窄的构建块;它不需要在 Agent 中实现一个调度程序。 长期可更新的身份验证令牌是在此部署中有意的。在频繁重新身份验证时替换模板运行程序并不是一个合适的轮换机制,特别是考虑到 hashicorp/consul-template#2171 中的未完成的依赖等待取消工作。 **请描述您想要的解决方案** 一个可选的本地 Agent API,该 API 选择一个配置的模板并请求强制性的 PKI 刷新。对于初始实现,通过精确配置的 `destination` 可以避免引入新的模板标识符。端点名称和负载是讨论的建议,而不是现有配置:
内容来源: hashicorp/vault