vault在linux上需手动下载官方二进制文件、严格配置路径权限、禁用tls_disable（生产环境）、使用非root专用用户及systemd服务加固，四者缺一不可。
vault 在 Linux 上不是通过包管理器“一键安装”就能直接用的系统服务，它本质是一个静态链接的 Go 二进制文件，必须手动下载、放对位置、配好权限和配置，否则 vault server 启动后会立刻报错或无法访问。
下载和放置 vault 二进制文件时路径和权限要严格匹配
别用 yum install vault 或 apt install vault —— 这些仓库里的版本往往滞后、缺签名、甚至被魔改过。官方只推荐从 https://www.php.cn/link/7001d40712221de0d30fe64a620b1a65 下载预编译包。
- 用
wget下载对应架构（如linux_amd64.zip或linux_arm64.zip），别用浏览器下载再传上去，容易损坏校验和 -
unzip解压后得到单个vault文件，直接sudo mv vault /usr/local/bin/—— 这比改/etc/profile更可靠，避免 shell 环境不一致导致vault命令找不到 - 执行
sudo chown root:root /usr/local/bin/vault && sudo chmod 755 /usr/local/bin/vault，否则 systemd 启动时可能因权限不足拒绝加载 - 验证：运行
vault version，输出应类似Vault v1.15.3，而非command not found或permission denied
vault.hcl 配置里 tls_disable = 1 只能用于本地测试
生产环境如果留着 tls_disable = 1，后续 vault login 会直接失败，报错：x509: certificate signed by unknown authority。这不是证书问题，是 Vault 拒绝接受非 TLS 连接。
- 开发机调试时可临时设为
1，但必须配合api_addr = "http://127.0.0.1:8200"，且不能对外网开放8200端口 - 只要服务器有公网 IP 或需跨机器访问，就必须关掉
tls_disable，并填上tls_cert_file和tls_key_file路径，证书得是 PEM 格式，私钥不能带密码 -
storage "file"仅限单节点测试；生产必须换storage "consul"或"raft"，否则重启后密钥全丢 -
listener "tcp"的address别写0.0.0.0:8200就完事——若用 nginx 反代，这里得设成127.0.0.1:8200，否则监听在公网接口上等于裸奔
初始化和解封必须分步操作，不能跳过或合并
vault operator init 输出的 5 个 Unseal Key 和 1 个 Initial Root Token 是一次性、不可再生的。漏记任何一个，整个 Vault 实例就永久锁死。
- 执行前先确保
VAULT_ADDR已设，比如export VAULT_ADDR=http://127.0.0.1:8200；否则命令会连不上本地服务，报Get https://127.0.0.1:8200/v1/sys/seal-status: http: server gave HTTP response to HTTPS client -
vault operator init -key-shares=5 -key-threshold=3是最小安全值，别改成1，否则失去多签保护意义 - 解封要用
vault operator unseal执行三次，每次粘贴一个Unseal Key；输错一次就会重置计数，得从头再来 -
Initial Root Token登录后第一件事是vault token revoke -self，然后立即创建带策略的普通 token，别长期用 root token
systemd 服务文件里最容易漏掉 Capabilities 和 ProtectSystem
直接抄网上模板启动 vault server -config=/etc/vault.d/vault.hcl 常见失败：服务起来但 vault status 显示 sealed，或者日志里反复出现 permission denied 写数据目录。
- 必须加
CapabilityBoundingSet=CAP_SYS_CHROOT CAP_DAC_OVERRIDE，否则 Vault 无法切换用户或读取证书文件 -
ProtectSystem=strict会阻止写/var/lib/vault/data，得显式加ReadWritePaths=/var/lib/vault - 运行用户不能是
root，得新建专用用户如vault，并chown -R vault:vault /var/lib/vault - 别忘了
sudo systemctl daemon-reload && sudo systemctl enable vault，否则 reboot 后服务不会自启
VAULT_ADDR 就跑 vault status，或以为 vault operator init 之后自动解封了——它只是生成密钥，解封是另一个必须手动执行的独立动作。
