先了解这张认证
HashiCorp Certified: Vault Associate (002) 是 HashiCorp 官方的 Vault 入门级认证，专门验证你对 secrets management 这一块的核心理解。考试 60 题、60 分钟、$70.50 美金、70% 通过 — 跟 Terraform Associate 一样的紧凑节奏，平均 1 分钟 1 题，没动手跑过 Vault dev mode 几乎不可能裸过。
跟 Terraform Associate 不一样的地方在于：Terraform 是横向技能（管所有云资源），Vault 是纵向技能（只管 secrets 和加密这一块）。考纲覆盖九大领域：Auth Methods（Token、AppRole、Kubernetes、AWS IAM、OIDC）、Policies（HCL 语法、path matching、capabilities）、Tokens（Service vs Batch、Accessor、TTL）、Leases（动态密钥的 renew/revoke）、Secret Engines（KV v1/v2、Database、AWS、PKI、Transit）、Encryption as a Service、Architecture（Seal/Unseal、Shamir、storage backend）、Deployment（Raft vs Consul、Replication、HCP Vault）、Access Management（Vault Agent、VSO）。重点是 Auth Methods 和 Secret Engines 这两大块，加起来差不多 50% 的题量。
绕不开的话题 — IBM 收购与 BSL 许可证：跟 Terraform 同样的剧情，2023 年 8 月 Vault 也从 MPL 2.0 改成了 BSL 1.1，2024 年 4 月 IBM 以 64 亿美元收购 HashiCorp。社区也有 fork（OpenBao，Linux Foundation 接手），但目前企业市场仍然 90%+ 在用官方 Vault，HashiCorp 认证依然是招聘市场认可的硬通货。考试只考 HashiCorp Vault，OpenBao 不在考纲。
这张证不适合所有人：Vault 是一个相对窄的技术 — 不像 Kubernetes 或 Terraform 那样几乎所有 DevOps 团队都用，Vault 的渗透率更多集中在金融、医疗、大型企业、合规要求高的行业。如果你目前公司用 AWS Secrets Manager / Azure Key Vault / GCP Secret Manager 解决了 80% 的需求，又没有迁移 Vault 的计划，那这张证对你的实际工作帮助有限，更多是简历加分项。
考试档案
- 考试代码
- Vault-002
- 发证机构
- HashiCorp
- 题型
- single-choice / multiple-choice
- 考试语言
- English
- 证书有效期
- 3 年
你会学到的技能
学完能做什么
- 通过 HashiCorp Certified: Vault Associate (002) 认证
- 深度掌握 Vault 密钥引擎：KV 静态密钥、动态数据库密钥和 Transit 加密服务
- 能够设计和实施 Vault 认证策略：AppRole 机器认证、Kubernetes 集成
- 熟练编写 HCL 格式 ACL 策略并配置 Vault Agent 自动认证模板
适合这样的你
- DevOps 工程师和平台工程师，负责企业级 Vault 部署与运营
- 安全工程师，希望系统掌握 Secrets Management 和加密即服务（EaaS）
- 云基础设施工程师，在 Kubernetes 或 AWS 环境中集成 HashiCorp Vault
开始前需要什么
- 了解基本 Linux 命令行操作，能够运行 vault CLI 命令
- 具备基础 DevOps 或云基础设施概念（容器、API、密钥管理）
- 建议有 3-6 个月 Vault 实际使用经验，或完成 HashiCorp 官方 Learn 教程
这些情况建议先考虑其他路径
- 公司只用 AWS/Azure/GCP 原生 secret manager 且短期没有迁移 Vault 的工程师（机会成本不划算，优先 SCS-C02）
- 纯前端 / 移动开发者（学完日常用不到）
- 完全没碰过 Linux CLI 的零基础转行者（建议先补 Linux + 一门云的基础认证）
- 非技术岗位（产品 / 项目经理 — 这张证 100% 是 hands-on 性质）
一步一步，准备好考试
3 个章节 · 学习路径
安排你的备考
- 课程学习时长
- 18h
- 有相关实操经验
- 2-3 周
- 从基础开始
- 5-7 周
- 建议日投入
- 1-2h
备考支持
- 133 道练习题，覆盖 Vault Associate 002 全部考试目标，每题附详细解析
- Secret Engines 专项：KV v1/v2 区别、动态密钥工作原理、Transit 加密场景题
- 仿真模拟考试（57 题 / 60 分钟），模拟真实 Vault Associate 考试节奏
- 场景判断题专训：判断在不同场景下选择哪种 Auth Method 和 Secret Engine
- AI 智能辅导，精准识别 ACL 策略和 Vault 架构等薄弱环节
1. 第一阶段：跑通 Vault Dev Mode（2-3 天）
不要看视频。本地 vault server -dev 启动一个 dev 模式 Vault，跟着官方 Tutorial Hub（developer.hashicorp.com/vault/tutorials）做完 "Getting Started" 和 "Secrets Management"。亲手敲 vault kv put secret/foo bar=baz、vault kv get secret/foo、vault auth enable approle、vault token create，看一遍 VAULT_ADDR、VAULT_TOKEN 这些环境变量怎么生效。这一步是后续所有学习的基础 — 没动过手，看再多文档都是抽象概念。
2. 第二阶段：Auth Methods + Secret Engines 系统刷（1-2 周）
按官方 Certification Prep Path 走完九大考纲。重点章节：AppRole（机器认证的事实标准，必须搞懂 RoleID + SecretID 的 two-step pull 流程）、Kubernetes Auth（Pod ServiceAccount 怎么换 Vault token）、KV v1 vs v2（v2 有版本控制，路径多一层 data/）、Database 动态密钥（动手配一次 PostgreSQL 动态用户生成）、Transit Engine（自己跑一遍 encrypt/decrypt）。每个 auth method 和 secret engine 都至少在 dev mode 里 enable 一次。
3. 第三阶段：Policy 编写 + Token 体系实战（5-7 天）
Policy 是考试最爱出陷阱题的地方。亲手写 5-10 个 HCL policy，覆盖 path "secret/data/*"、wildcard + vs * 的区别、capabilities 的细节（特别是 sudo 和 deny 的优先级）。Token 部分必须搞清楚：Service Token vs Batch Token 的区别（Batch 不持久化、不能 renew、性能更好）、Token Accessor 的用途（管理员能 revoke 但看不到原 token）、Orphan Token 的场景。这一阶段做完，policy 题和 token 题基本不会丢分。
4. 第四阶段：架构题 + 模考冲刺（最后 1 周）
Seal/Unseal + Shamir 必考 — 至少能讲清楚为什么需要 unseal、Shamir 是怎么把 master key 切分成 5 份要 3 份才能恢复、Auto-unseal 怎么用云 KMS 解决。Storage Backend 要分清 Integrated Storage (Raft) 是 Vault 1.4+ 推荐的、Consul 是 legacy 选项。最后刷 2-3 套 mock exam（Bryan Krausen 在 Udemy 有完整的 6 套），稳定 80% 以上再去考。
这张认证的职业价值
Vault 在招聘市场的定位
Vault 不像 Terraform 那样是 DevOps 岗位的"必看关键词"，但它是一个明显的薪资上浮信号。一旦 JD 里出现 Vault，通常意味着这家公司：(1) 在做合规（PCI/SOC2/HIPAA/ISO27001），(2) 有专门的 platform/security 团队，(3) 给的薪资在同岗位均值之上。打开 LinkedIn 搜 "Vault DevOps Sydney"，你能看到的几乎全是金融、政府、大型 SaaS 公司，给到 senior 级别 AUD 160k-185k 的不算少见。
Vault 跟 cloud-native secrets manager 的竞争关系
这是考前必须想清楚的现实问题。AWS Secrets Manager、Azure Key Vault、GCP Secret Manager 都在抢 Vault 的市场，对很多中小公司来说"用云原生服务"已经够了。Vault 的护城河在于：(1) 多云中立 — 一套 secrets 引擎管所有云，(2) 动态密钥引擎 — 数据库账号即用即生成，过期自动撤销，云原生服务做不到这种粒度，(3) Transit Engine 提供 encryption-as-a-service，应用不接触密钥本身。结论：如果你的目标公司是金融/政府/大型企业 — 学；如果是创业公司 / 纯 AWS 单云栈 — 优先级低于 SCS-C02（AWS Security Specialty）。
最适合考的三类人：
- 已经在用 Vault 的 DevOps/SRE：每天写 policy、debug AppRole pull，但没系统学过架构。考一张证把知识体系化，简历直接加分。
- 想转 Platform Engineering / DevSecOps 的工程师：Vault 是 DevSecOps 工具链里最常被点名的产品。配合 Terraform Associate + CKA 是金融/合规行业的黄金组合。
- 目标公司明确用 HashiCorp 全家桶：面试前突击 4 周拿证，是面试官能直接看到的诚意信号。
不建议考的人：纯前端 / 移动开发；没碰过 Linux CLI 的零基础；公司只用 AWS/Azure 原生 secret manager 且短期没有迁移计划的工程师；非技术岗。
- 澳洲
- AUD 130,000 – 185,000
- 美国
- USD 135,000 – 210,000
- 中国
- CNY 380,000 – 750,000
- 新加坡
- SGD 110,000 – 170,000
备考时，做好这些事
- **60 分钟 60 题，节奏 = 1 分钟 1 题**：跟 Terraform Associate 一样紧。第一遍快速过，长场景题立刻 mark 跳过，最后 10 分钟回头攻坚。
- **场景判断题占大头**：Vault 的题很少考"这个命令的语法是什么"，更多是"在 X 场景下应该用 Y 还是 Z"。比如 "Pod 要从 Vault 读 secret 用什么 auth method" — 答案是 Kubernetes Auth；"机器之间要互相认证不用人介入" — 答案是 AppRole。
- **Policy HCL 题靠肌肉记忆**：考前一晚把官方 docs 的 Policies 那一页过一遍，重点记 capability 列表（create/read/update/delete/list/sudo/deny）和 wildcard 区别（`*` 匹配任意路径段，`+` 匹配单层）。
- **多选题题干会明确说选几个**：写着 "Choose 2" 就只能选 2，多选少选都算错。
- **企业版功能必有 3-5 道题**：Performance Replication（横向扩展读性能，主写副读）vs DR Replication（灾备，副本不能写）vs Namespace（多租户隔离）— 这三个概念必须搞清楚区别，考前一晚扫一遍即可。
- **线上考试 PSI 监考**：跟 Terraform 考试同一个平台。需要安静独立空间、护照、外接摄像头允许 360° 环顾房间。提前 30 分钟登录，PSI 系统经常抽风。
这些误区要避开
- **Token vs Token Accessor 不分** — Token 本身是 secret，Accessor 是元数据引用，可以用来 lookup 或 revoke 但不能拿来认证。考试至少 1-2 道题考 "管理员怎么 revoke 一个 token 但又不能知道 token 本身的值" — 答案就是 Accessor。
- **Response Wrapping 用途搞错** — Response Wrapping 不是加密 secret，是把 secret 包装成一个一次性的 wrapping token，传递给消费方后由消费方 unwrap。典型场景是 CI/CD 把 secret 安全地传给容器，wrapping token 即使被截获也只能用一次。这是考试经典场景题。
- **Vault Agent vs 直接调 API 混淆** — Vault Agent 是 client-side daemon，做两件事：auto-auth（自动登录拿 token）和 template（把 secret 渲染到文件给应用读）。它不是 server 组件，不替代 Vault server。题目会问 "应用不想集成 Vault SDK，怎么让它读到 secret" — 答案是 Vault Agent template。
- **AppRole 的 two-step pull 只记一半** — AppRole 认证需要 RoleID（公开的，类似 username）+ SecretID（机密的，类似 password）两个值才能换 token。常见错误是只记得 RoleID 或者把 SecretID 当成永久凭证 — SecretID 默认是 single-use 的，用一次就失效，必须 wrap 后传递。
- **Seal Type 不分** — Vault 支持多种 seal 模式：Shamir（手动 unseal，5 份 key 要 3 份）、Auto-unseal（用 AWS KMS / Azure Key Vault / GCP KMS 自动解封）、Transit seal（用另一个 Vault 实例解封）。考试会问场景题 — 比如 "在 EKS 上部署 Vault 怎么做到 pod 重启自动恢复" — 答案是 AWS KMS auto-unseal，不是 Shamir。
- **KV v1 和 v2 路径搞混** — KV v2 在 API path 上多一层 `data/`，CLI 命令会自动加但 API 调用必须手写：`vault kv get secret/foo`（CLI）实际访问的是 `secret/data/foo`（API）。Policy 里写 path 必须用 API path，所以 v2 的 policy 必须写 `path "secret/data/foo"` 而不是 `path "secret/foo"`。
- **以为 Batch Token 等同 Service Token** — Batch Token 不写存储后端，性能极高但不能 renew、不能创建子 token、Vault 重启就失效。适合短生命周期的高频请求场景（比如 CI job），不适合长生命周期的 worker。
报名之前，你可能想问
HashiCorp Vault Associate 考试难度如何？
考试共 57 道题，时间 60 分钟，节奏较紧凑。属于 Associate 级别，考察 Vault 核心概念和基本操作而非高级场景。但由于涉及安全领域的多个方面（密钥管理、加密服务、身份认证、访问控制），知识面要求较广。建议有 3-6 个月 Vault 使用经验。
Vault 的认证方法（Auth Methods）考哪些？
需要掌握多种认证方法的概念和使用场景，包括 Token、UserPass、AppRole（推荐用于机器认证）、LDAP、OIDC/JWT、AWS、Kubernetes 等。重点理解每种方法的适用场景、Token 的类型（Service Token vs Batch Token）、Token 的 TTL 和续期机制。
密钥引擎（Secrets Engines）部分考什么？
这是考试重点内容。需要理解 KV Secrets Engine（v1 和 v2 的区别）、动态密钥引擎（Database、AWS、PKI）的工作原理、租约（Lease）管理和续期、Transit 加密引擎的使用场景，以及如何启用和配置不同的密钥引擎。
考试涉及 Vault 的架构知识吗？
是的，需要理解 Vault 的核心架构概念：Seal/Unseal 机制和 Shamir 密钥分享、存储后端（Storage Backend）选项、高可用（HA）部署模式、Vault Agent 的自动认证和模板功能，以及 Vault 与 Consul 的集成。不需要掌握生产级集群部署的深层细节。
Vault 策略（Policies）和 ACL 考哪些知识？
需要掌握 HCL 格式的策略编写、路径匹配规则（通配符 * 和 +）、能力（capabilities）类型（create、read、update、delete、list、sudo、deny）、默认拒绝原则、以及如何将策略绑定到 Token 和认证方法的实体（Entity）和身份组（Identity Group）。
备考 Vault Associate 有什么建议？
建议先完成 HashiCorp 官方的 Learn 教程，然后在本地安装 Vault Dev Server 动手实践。重点掌握 CLI 命令和 API 操作。考试题目很多是场景判断题，需要理解"在什么情况下使用什么功能"。本平台的练习题可以帮助你熟悉考试风格。
听听学过的人怎么说
评价加载中…
工作里写过一年 Vault policy，本以为很简单，结果模考第一次只有 62%。最大的坑是 Token Accessor — 我从来没用过，也没想过 accessor 跟 token 本身有什么区别。后来翻文档才知道 accessor 是为了让管理员能 revoke 但又不暴露 token 本身。建议哪怕用过 Vault 也要把 token 这一章重新过一遍。
A. Wang
金融行业 DevOps 3 年 · 86% · 4 周
我们公司用 Vault 做 Kubernetes secret injection，所以 Auth Methods 和 Vault Agent 这块我很熟。完全没准备的是 Replication 和企业版功能 — 那些我们没用过。考试里大概有 4-5 道题问 Performance Replication vs DR Replication 的区别，幸亏考前一晚扫了一遍官方 docs 才答出来。
R. Singh
Sydney Platform Engineer · 91% · 3 周
Linux 命令行没问题，但 Vault 的 secret engine 概念对我来说全新。最难的是动态密钥那一块 — 完全反直觉，"数据库账号每次用完就销毁"，跟我以前的 password vault 思维完全不一样。建议安全背景的同学多动手跑 database secret engine，看一次 lease 怎么自动 revoke 比看 10 篇文章都有用。
安全转 DevSecOps
渗透测试 5 年 → DevSecOps · 74% · 6 周
从第一章，开始你的备考。
前 2 章免费试学 · 完整备考 $29 起