vault启用pki引擎需显式挂载并初始化根ca或中间ca，配置证书url、权限最小化策略，并在go微服务中通过api签发证书、缓存内存、按lease_duration 70%续期且拼接完整证书链。
Vault 服务端启用 PKI secrets engine 并配置 CA
Vault 默认不启用任何 secrets engine，PKI 引擎必须显式挂载并初始化为根 CA 或中间 CA。直接调用 vault secrets enable pki 后若未设置 CA 证书和私钥，后续签发会报 error="no CA configured"。
- 推荐使用 Vault CLI 初始化根 CA：
vault write -field=certificate pki/root/generate/internal common_name="mycompany.internal" ttl=8760h，注意ttl必须显式设为足够长（如 1 年），否则默认 32 天，证书轮换会频繁失败 - 若已有企业 CA，改用
pki/root/sign-intermediate挂载中间 CA，此时需先上传 CSR，再用上游 CA 签发——这步常被跳过，导致 Vault 认为“无有效 CA” - 务必运行
vault write pki/config/urls issuing_certificates="http://vault:8200/v1/pki/ca" crl_distribution_points="http://vault:8200/v1/pki/crl"，否则 Go 客户端校验证书时可能因缺失 CRL 或 OCSP 地址而拒绝信任
Go 微服务中用 vault-go SDK 获取动态证书
官方 vault-go SDK 不直接支持 PKI 签发，需手动构造 POST 请求到 /v1/pki/issue/xxx 路径；用 github.com/hashicorp/vault/api 的 Logical.Write() 是最稳妥方式，而非试图复用 kv 相关方法。
- 签发请求体必须含
common_name和ttl（单位为秒或带后缀如24h），漏掉ttl会回退到引擎默认值（通常很短），导致证书几小时后失效 - 建议在微服务启动时一次性获取证书+私钥，并缓存到内存（非全局变量，而是 struct 字段），避免每次 HTTP 请求都调 Vault——高并发下易触发 rate limit 或 TLS handshake timeout
- 证书链字段是
data.issuing_ca和data.certificate，但私钥在data.private_key，不是data.key；很多 Go 示例误读字段名，导致x509: failed to load key pair
证书自动续期与服务热重载的衔接
Go 标准库 http.Server.TLSConfig.GetCertificate 支持运行时替换证书，但 Vault 签发的新证书需主动触发 reload，不能依赖定时轮询——轮询间隔若大于证书剩余有效期，就会出现服务中断。
- 推荐用 Vault 的
lease_duration值的 70% 作为续期触发点（例如 lease 是 86400 秒，则在 60480 秒后发起续期），避免临界点竞争 - 续期成功后，用
atomic.StorePointer更新指向新*tls.Certificate的指针，再调用srv.TLSConfig.GetCertificate = func(...) (*tls.Certificate, error) { return atomic.LoadPointer(&certPtr), nil }——直接赋值TLSConfig.Certificates无效，因为 Go http server 不监听该字段变化 - 务必检查
lease_id是否为空：若 Vault 返回空lease_id，说明该证书不可续期（比如用pki/issue而非pki/sign），此时必须重新签发，否则续期逻辑会静默失败
策略与权限最小化配置要点
Vault token 权限过大是常见安全隐患，尤其当微服务以 sidecar 或共享 token 方式访问 Vault 时。仅开放 pki/issue/xxx 和 pki/rotate-root（如需）即可，禁止 sudo 或 read 全路径。
- 策略文件中路径必须精确匹配，例如
path "pki/issue/service-tls" { capabilities = ["create", "update"] }，写成pki/issue/*会允许签发任意 CN，造成域名劫持风险 - 如果用 Kubernetes Auth Method，
role中的bound_service_account_names和bound_service_account_namespaces必须与 Pod 实际 SA 一致，否则permission denied错误不会提示具体原因，只返回 403 - 禁用
renewable = false的 token：动态证书依赖 lease 续期，不可续期 token 会导致无法刷新证书，且 Vault 日志里只显示lease not found，不易定位
真正麻烦的是证书链完整性校验——Vault 返回的 issuing_ca 是 PEM 格式单证书，而 Go 的 tls.Certificate.Certificate 需要完整链（leaf + intermediate + root），漏掉 intermediate 就会导致客户端（尤其是 Java 或 iOS）校验失败。这个细节没写进 Vault 文档，但必须手动拼接。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
