Linux部署Vault核心是选对安装方式并配准storage、listener和api_addr：开发用-vault server -dev，生产禁用dev模式；安装推荐包管理器（省心但版本滞后）、二进制（需setcap）或Docker（仅限验证）；配置须确保storage、listener、api_addr地址语义一致，否则服务不可达。
Linux 上安装和配置 HashiCorp Vault，核心就两点：**用对安装方式，配对 storage 和 listener**。开发环境用 vault server -dev 一步到位；生产环境必须禁用 dev 模式，否则数据全丢在内存里，重启即失密。
怎么选安装方式：包管理器 vs 二进制 vs Docker
Ubuntu/Debian 直接跑 sudo apt install vault 最省心，版本稳定、自动注册 systemd；CentOS/RHEL 用 sudo yum install vault 同理。但注意：这些包管理器提供的版本通常滞后 1–2 个小版本，如果你需要 vault kv put 的 v2 默认启用行为或 Raft 存储的修复补丁，就得手动下载二进制。
Docker 方式适合快速验证或 CI 环境：docker run -d --name vault -p 8200:8200 -e 'VAULT_DEV_ROOT_TOKEN_ID=myroot' -e 'VAULT_DEV_LISTEN_ADDRESS=0.0.0.0:8200' hashicorp/vault:1.15.0。但别在生产用 VAULT_DEV_* 环境变量——它绕过初始化流程，等同于裸奔。
- 包管理器安装后，
vault命令已就位，无需额外 PATH 设置 - 手动下载二进制（如
vault_1.15.0_linux_amd64.zip）解压后，务必sudo mv vault /usr/local/bin/，再执行sudo setcap cap_ipc_lock=+ep $(readlink -f $(which vault))启用内存锁定 - Docker 部署时，
storage "raft"无法直接用 host 路径，必须挂载卷并显式指定path，否则启动失败报raft: failed to open data dir
生产配置文件里最容易写错的三个字段
一个能跑起来的 /etc/vault.d/vault.hcl，关键不是语法对，而是语义对。最常栽在 storage、listener、api_addr 三者地址不一致上。
storage "file" 仅限单节点测试，路径必须是 Vault 进程有写权限的目录（比如 /var/lib/vault/data），且该目录不能被其他进程占用；生产必须换 storage "raft" 或 storage "consul"。
listener "tcp" 的 address 是 Vault 绑定监听的网卡地址，api_addr 是客户端实际访问的地址（比如反向代理后端地址），两者若混为 127.0.0.1，外部调用必超时。
-
tls_disable = 1只允许出现在开发或内网测试配置中；生产必须配tls_cert_file和tls_key_file，否则vault login会报x509: certificate signed by unknown authority -
cluster_addr必须可被集群内其他节点直连，填https://vault-node-2:8201比填https://localhost:8201少踩 80% 的 Raft 集群脑裂问题 - 配置文件权限必须是
640，属主是运行 Vault 的专用用户（如vault:vault），否则启动时报permission denied on config file
systemd 服务启动失败的三个典型日志线索
执行 sudo systemctl start vault 后卡住或报 failed，别急着重装，先看 journalctl -u vault -n 50 -f。
如果日志里反复出现 failed to lock memory，说明 setcap 没生效，或者用了 root 用户启动却没加 LimitMEMLOCK=infinity 到 service 文件里。
如果报 error initializing barrier: error="failed to setup keyring"，基本是首次启动时 storage 目录非空，或者上次异常退出留下损坏的 core/ 子目录，删掉整个 data/ 再试。
- 服务文件里漏写
User=vault，会导致 Vault 以 root 身份读取配置，触发 SELinux 拒绝（RHEL/CentOS）或 AppArmor 报错（Ubuntu） - 忘记在
[Service]段落加Environment="VAULT_ADDR=http://127.0.0.1:8200"，后续用vault status会连不上，误判为服务未启 -
Type=notify必须配合 Vault 的 readiness 通知机制，若改成了Type=simple，systemd 会认为服务“已启动”，其实 Vault 还卡在初始化密钥生成阶段
Vault 的配置难点不在语法，而在角色边界：storage 是数据存哪，listener 是门开在哪，api_addr 是招牌挂哪。三者地址不统一，就像把仓库建在郊区、收货口设在市中心、快递单写的却是海外地址——东西都在，就是找不到。
