Wachtwoord afschrijving mislukt of kluis is vergrendeld
VaultPAM slaat referenties op in een versleutelde kluis ondersteund door OpenBao. Wanneer u een sessie probeert te starten of een referentie afschrijft en de actie mislukt, is bijna altijd een van vier oorzaken verantwoordelijk. Kluisverzegeling is zeldzaam maar storend; machtigings- en beleidskwesties zijn veel vaker voorkomen.
Symptomen
- Op Sessie starten of Wachtwoord afschrijven klikken retourneert een fout zoals:
Kluis is verzegeld — referentie-toegang niet beschikbaarReferentiebeleid verlopenU hebt geen toestemming om deze referentie af te schrijvenDeze Safe is vergrendeld
- Het referentieveld in de Safe-detailweergave toont een slotpictogram of "Niet beschikbaar" in plaats van een gemaskeerde waarde.
- Een eerder werkende afschrijving mislukt plotseling nadat er geen zichtbare verandering is.
Oorzaken
1. Kluis verzegeld (OpenBao)
VaultPAM gebruikt OpenBao voor referentieversleuteling. Als het OpenBao-exemplaar is verzegeld — vanwege een herstart zonder auto-ontgrendeling, een uitval van een sleutelprovider of een verzegelelingsopdracht van een operator — kan geen referentie-lees- of schrijfbewerking slagen totdat de kluis wordt ontgrendeld.
Controleren: Een banner "Kluis is verzegeld" kan zichtbaar zijn in het VaultPAM-beheerpaneel onder Systeem → Kluisstatus. Operators kunnen ook direct op de OpenBao-host controleren:
bao status
Het veld Sealed is true als de kluis moet worden ontgrendeld.
Wie kan dit oplossen: Alleen operators met ontvergrendelingssletelshares (of toegang tot de auto-ontgrendelingsprovider, zoals GCP KMS of AWS KMS) kunnen de kluis ontgrendelen. Eindgebruikers kunnen dit niet doen.
Reparatie voor operators: Ontgrendel de kluis met het vereiste aantal ontvergrendelingssletelshares:
bao operator unseal <key-share>
Herhaal dit voor elke vereiste share. Zodra Sealed: false is bevestigd, worden referentiebewerkingen automatisch hervat. Als auto-ontgrendeling is ingesteld en de kluis onverwacht is verzegeld, controleer dan of de KMS-sleutel of Transit-pad bereikbaar is vanaf de OpenBao-host.
2. Referentiebeleid verlopen
Safe-niveau referentiebeleidsregels kunnen een maximale afschrijvingsduur, een rotatieplan of een vervaldatum afdwingen. Als een beleid is verlopen of als een op tijd gebaseerde rotatie de huidige referentie vóór afschrijving ongeldig heeft gemaakt, mislukt de afschrijving.
Controleren: Open Safes → selecteer Safe → Bewerken → Referentiebeleid. Zoek naar:
- Een beleidseindatum die voorbij is.
- Een rotatieplan dat is uitgevoerd en de nieuwe referentie is nog niet opgeslagen.
- Een "Afschrijvings-TTL" die nul is of een zeer kort venster.
Reparatie: Werk het referentiebeleid bij om het geldigheidsvenster uit te breiden, of activeer een handmatige rotatie: Safes → selecteer Safe → Referenties → Nu roteren. Als rotatie een wijziging in het stroomopwaarts systeem vereist, coördineer dan met de beheerder van het doelsysteem.
3. Gebruiker heeft geen afschrijvingstoestemming
Afschrijving is een expliciete toestemming verleend via Safe-lidmaatschap en roltoewijzing. Een gebruiker met leestoegang tot een Safe heeft niet automatisch afschrijvingstoestemming.
Controleren: Open Safes → selecteer Safe → Leden. Zoek de gebruiker of de groep waartoe de gebruiker behoort. Bevestig dat hun rol de toestemming Afschrijving bevat. Rollen en hun machtigingsverzamelingen zijn zichtbaar in Organisatie → Toegang → Rollen.
Reparatie: Vraag een Safe-beheerder of VaultPAM-beheerder om de rol van de gebruiker bij te werken naar een rol die de toestemming Afschrijving bevat, of voeg de gebruiker toe aan een groep die al die toegang heeft.
4. Safe vergrendeld door beheerder
Een beheerder kan een Safe vergrendelen om alle sessies en afschrijvingen te voorkomen, meestal tijdens een onderzoek naar een beveiligingsincident of een onderhoudsvenster. Een vergrendelde Safe toont een slotbadge in de Safe-lijst.
Controleren: Zoek in de Safes-lijst naar een slotbadge op de betreffende Safe. Als deze aanwezig is, is de Safe opzettelijk vergrendeld.
Reparatie: Alleen een Safe-eigenaar of VaultPAM-beheerder kan een Safe ontgrendelen. Neem contact op met uw beheerder en vraag hen om deze te ontgrendelen via Safes → selecteer Safe → Acties → Safe ontgrendelen. Vraag hen om de reden van de vergrendeling te bevestigen en of het veilig is om deze te ontgrendelen.
Stappen voor oplossing
- Voer de afschrijving of sessiestart uit. Noteer de exact foutmelding.
- Als de fout verwijst naar de kluis die is verzegeld, open dan Systeem → Kluisstatus in het VaultPAM-beheerpaneel. Als de kluis is verzegeld, escaleer onmiddellijk naar een operator met ontvergrendelingssletelstoegang — eindgebruikers kunnen een verzegelde kluis niet oplossen.
- Als de fout verwijst naar een beleid, open Safes → selecteer Safe → Bewerken → Referentiebeleid en controleer op een verlopen beleid of vervallen rotatie. Breid het beleid uit of activeer een handmatige rotatie.
- Open Safes → selecteer Safe → Leden en verifieer dat uw rol de toestemming Afschrijving bevat. Als dit niet het geval is, vraag om een rolwijziging bij een Safe-beheerder.
- Bevestig in de Safes-lijst dat geen slotpictogram wordt weergegeven op de betreffende Safe. Als deze is vergrendeld, neem contact op met een Safe-eigenaar of VaultPAM-beheerder en vraag hen om deze te ontgrendelen.
- Na elke wijziging voert u de afschrijving of sessiestart opnieuw uit.
Escalatiepad
Als geen van de bovenstaande stappen de fout oploost:
- Noteer de exact foutmelding en de naam van de Safe en referentie betrokken.
- Als de kluis onverwacht is verzegeld (niet tijdens gepland onderhoud), behandel dit als een P1-operationeel incident en neem onmiddellijk contact op met uw VaultPAM-operator.
- Voor blijvende machtigings- of beleidskwesties die niet kunnen worden verklaard door de huidige configuratie, open een ondersteuningsticket met: Safenaam, betrokken gebruikersnaam, exact foutmelding en een schermafbeelding van het huidige referentiebeleid en ledenlijst.