Consul ACL集群配置说明以及ACL Token的用法

最新推荐文章于 2024-09-11 15:21:29 发布
最新推荐文章于 2024-09-11 15:21:29 发布
阅读量1.4k 收藏 2
点赞数
文章标签： ui postman 网络
原文链接：https://juejin.im/post/5cf7eb275188254bf1610ca8
版权

在上一篇文章里面，我们讲了如何搭建带有Acl控制的Consul集群。 这一篇文章主要讲述一下上一篇文章那一大串配置文件的含义。

1.配置说明

#1.1 勘误

上一篇文章关于机器规划方面，consul client agent的端口写的有误。这里再贴一下正确的机器规划。

1.2 我们先来看一下consul server agent的配置。

上一节中，提供了三个配置文件，consul-server1.json, consul-server2.json以及consul-server3.json。 其中consul-server1.json参数最多，这里就以它来说明各个配置的含义：

{
    "datacenter":"dc1",
    "primary_datacenter":"dc1",
    "bootstrap_expect":1,
    "start_join":[
        "10.211.55.25",
        "10.211.55.26"
    ],
    "retry_join":[
        "10.211.55.25",
        "10.211.55.26"
    ],
    "advertise_addr": "10.211.55.28",
    "bind_addr": "10.211.55.28",
    "server":true,
    "connect":{
        "enabled":true
    },
    "node_name":"consul-server1",
    "data_dir":"/opt/consul/data/",
    "enable_script_checks":false,
    "enable_local_script_checks":true,
    "log_file":"/opt/consul/log/",
    "log_level":"info",
    "log_rotate_bytes":100000000,
    "log_rotate_duration":"24h",
    "encrypt":"krCysDJnrQ8dtA7AbJav8g==",
    "acl":{
        "enabled":true,
        "default_policy":"deny",
        "enable_token_persistence":true,
        "tokens":{
            "master":"cd76a0f7-5535-40cc-8696-073462acc6c7",
	    "agent":"deaa315d-98c5-b9f6-6519-4c8f6574a551"
        }
    }
}
复制代码
  • datacenter 此标志表示代理运行的数据中心。如果未提供，则默认为“dc1”。 Consul拥有对多个数据中心的一流支持，但它依赖于正确的配置。同一数据中心中的节点应在同一个局域网内。
  • primary_datacenter: 这指定了对ACL信息具有权威性的数据中心。必须提供它才能启用ACL。
  • bootstrap_expect: Consul将等待指定数量的服务器可用，然后才会引导群集。这允许自动选择初始领导者。
  • start_join: 一个字符串数组，指定是其他的consul server agent的地址。这里这样配置，会在启动时，尝试将consul-server2，consul-server3这两个节点加进来，形成一个集群。
  • retry_join: 允许start_join时失败时，继续重新连接。重试的时间间隔，可以用retry_interval设置，默认是30s;重试的最大次数，可以用retry_max设置，默认是0，也就是无限次重试。关于retry_interval和retry_max，这里都是用的默认值。
  • bind_addr: 内部群集通信绑定的地址。这是群集中所有其他节点都应该可以访问的IP地址。默认情况下，这是“0.0.0.0”，这意味着Consul将绑定到本地计算机上的所有地址，并将第一个可用的私有IPv4地址通告给群集的其余部分。如果有多个私有IPv4地址可用，Consul将在启动时退出并显示错误。如果指定“[::]”，Consul将通告第一个可用的公共IPv6地址。如果有多个可用的公共IPv6地址，Consul将在启动时退出并显示错误。 Consul同时使用TCP和UDP，并且两者使用相同的端口。如果您有防火墙，请务必同时允许这两种协议。
  • advertise_addr: 更改我们向群集中其他节点通告的地址。默认情况下，会使用-bind参数指定的地址.
  • server: 是否是server agent节点。
  • connect.enabled: 是否启动Consul Connect，这里是启用的。
  • node_name：节点名称。
  • data_dir: agent存储状态的目录。
  • enable_script_checks： 是否在此代理上启用执行脚本的健康检查。有安全漏洞，默认值就是false，这里单独提示下。
  • enable_local_script_checks: 与enable_script_checks类似，但只有在本地配置文件中定义它们时才启用它们。仍然不允许在HTTP API注册中定义的脚本检查。
  • log-file: 将所有Consul Agent日志消息重定向到文件。这里指定的是/opt/consul/log/目录。
  • log_rotate_bytes：指定在需要轮换之前应写入日志的字节数。除非指定，否则可以写入日志文件的字节数没有限制
  • log_rotate_duration：指定在需要旋转日志之前应写入日志的最长持续时间。除非另有说明，否则日志会每天轮换（24小时。单位可以是"ns", "us" (or "µs"), "ms", "s", "m", "h"， 比如设置值为24h
  • encrypt：用于加密Consul Gossip 协议交换的数据。在启动各个server之前，配置成同一个UUID值就行，或者你用命令行consul keygen 命令来生成也可以。
  • acl.enabled: 是否启用acl.
  • acl.default_policy: “allow”或“deny”; 默认为“allow”，但这将在未来的主要版本中更改。当没有匹配规则时，默认策略控制令牌的行为。在“allow”模式下，ACL是黑名单：允许任何未明确禁止的操作。在“deny”模式下，ACL是白名单：阻止任何未明确允许的操作.
  • acl.enable_token_persistence: 可能值为true或者false。值为true时，API使用的令牌集合将被保存到磁盘，并且当代理重新启动时会重新加载。
  • acl.tokens.master: 具有全局管理的权限，也就是最大的权限。它允许操作员使用众所周知的令牌密钥ID来引导ACL系统。需要在所有的server agent上设置同一个值，可以设置为一个随机的UUID。这个值权限最大，注意保管好。
  • acl.tokens.agent: 用于客户端和服务器执行内部操作.比如catalog api的更新，反熵同步等。

1.3 再来说下consul-client1的相关配置。

我再贴一下配置信息。

{
    "datacenter":"dc1",
    "primary_datacenter":"dc1",
    "advertise_addr": "10.211.55.27",
    "start_join":[
         "10.211.55.25",
        "10.211.55.26",
        "10.211.55.28"
    ],
    "retry_join":[
         "10.211.55.25",
        "10.211.55.26",
        "10.211.55.28"
    ],
    "bind_addr":"10.211.55.27",
    "node_name":"consul-client1",
    "client_addr":"0.0.0.0",
    "connect":{
        "enabled":true
    },
    "data_dir":"/opt/consul/data/",
    "log_file":"/opt/consul/log/",
    "log_level":"info",
    "log_rotate_bytes":100000000,
    "log_rotate_duration":"24h",
    "encrypt":"krCysDJnrQ8dtA7AbJav8g==",
    "ui":true,
    "enable_script_checks":false,
    "enable_local_script_checks":true,
    "disable_remote_exec":true,
    "ports":{
        "http":7110
    },
    "acl":{
        "enabled":true,
        "default_policy":"deny",
        "enable_token_persistence":true,
        "tokens":{
	    "agent":"deaa315d-98c5-b9f6-6519-4c8f6574a551"
        }
    }
}

复制代码

这里，start_join, retry_join都是指定的server agent的地址。 另外还没有提过的配置就是client_addr， ui, ports.http . 下面依次说明：

  • client_addr: Consul将绑定客户端接口的地址，包括HTTP和DNS服务器
  • ui: 启用内置Web UI服务器和对应所需的HTTP路由
  • ports.http： 更改默认的http端口。

2. ACL Token的用法

2.1 ACL Token 有什么用呢？

可以有人会说，你上面让我又是搭建环境，又是看配置说明，我建好了一个这么一个带ACL控制的Consul集群有什么用呢？

ACL 全称 Access Control List，也就是访问控制列表的意思，现在我们生成了带有ACL控制的集群，就意味不是谁都能来向我注册的，也不是谁都能像我获取服务列表-- 也就是你想对Consul执行任何操作，你得对应的令牌，也就是ACL Token。

2.2 不带Token行不行？

为了模拟一般的Http请求，我这里下载一个Postman, 是的这里没有用命令行curl。 我们现在postman输入 http://127.0.0.1:7110/v1/catalog/nodes 会发现一个节点都拿不到：

此时如果加上master token, 也就是访问 http://127.0.0.1:7110/v1/catalog/nodes?token=cd76a0f7-5535-40cc-8696-073462acc6c7 会发现可以拿到所有节点的数据（下图只截取一部分）

2.3 不带token是不行，那能不能带权限小点的token呢？

前面说过master token是权限最大的token，假如这样给出去，各个部分都拿来用。如果两个不同的部分注册名称一样的服务该怎么办，取消注册了其他部门的服务又该怎么办。总之，权限能不能给小点，答案是可以的。 首先说一下目标： 1.不同部门的服务必须要有自己的前缀，比如deptA表示部门A，比如deptB表示部门B 2.不同部门只能更改自己的服务。

2.3.1 先给两个部门各注册一个服务

注册服务deptA-pingbaidu1, 注意这里选择的PUT方法。

 PUT http://127.0.0.1:7110/v1/agent/service/register?token=cd76a0f7-5535-40cc-8696-073462acc6c7
 {
    "ID": "deptA-pingbaidu1",
    "Name": "deptA-pingbaidu",
    "Tags": [
        "primary",
        "v1"
    ],
    "Address": "127.0.0.1",
    "Port": 8000,
    "Meta": {
        "my_version": "4.0"
    },
    "EnableTagOverride": false,
    "Check": {
        "DeregisterCriticalServiceAfter": "90m",
        "HTTP": "http://www.baidu.com/",
        "Interval": "10s"
    }
} 
复制代码

在截个图，当返回status为200时，表示成功注册

此时可以在consul web ui中进行查看，打开consul-client1所在的机器，在浏览器中，输入http://127.0.0.1:7110/ui/dc1/services，（ 注意在此之前你需要先设置consul web ui的token，上一篇文章末尾已经提及），此时会看到
类似地，在注册个deptA-pingMe1的服务 

 PUT http://127.0.0.1:7110/v1/agent/service/register?token=cd76a0f7-5535-40cc-8696-073462acc6c7
{
    "ID": "deptB-pingMe1",
    "Name": "deptB-pingMe",
    "Tags": [
        "primary",
        "v1"
    ],
    "Address": "127.0.0.1",
    "Port": 7000,
    "Meta": {
        "my_version": "4.0"
    },
    "EnableTagOverride": false,
    "Check": {
        "DeregisterCriticalServiceAfter": "90m",
        "HTTP": "https://blog.csdn.net/yellowstar5",
        "Interval": "10s"
    }
} 
复制代码

2.3.2. 生成两个token，让部门A，B各自管理自己的服务

首先我们来生成部门A的policy， 意思度所有节点具有写权限（写权限包括读），并且只能写deptA开头的服务。

2.3.2.1先生成部门A的token
node_prefix "" {
    	policy = "write"
  }

service_prefix "deptA"{
  	  policy = "write"
  }
复制代码

下面是具体的生成过程 1.新建policy并保存

2.生成token
3.查看token列表，并点击deptA-policy那一项查看并复制token

2.3.2. 2.在生成部门B的token

只需要把policy稍作修改就可以，其他部门和部门A的类似，这里就不贴图了。

node_prefix "" {
    	policy = "write"
  }

service_prefix "deptB"{
  	  policy = "write"
  }
复制代码

2.3.用不同的token来获取服务列表

最后我们拿到部门A和部门B的token，以及master的token 我这里deptA的token是：8764c083-0acb-e11e-433d-8d8803db9bd2 deptB的token是： 052f467f-9581-cc7c-a8a5-84d8df51dc9d master token是: d76a0f7-5535-40cc-8696-073462acc6c7 下面用postman测试一下，看看不同token返回的服务列表

deptA-token http://127.0.0.1:7110/v1/agent/services?token=8764c083-0acb-e11e-433d-8d8803db9bd2

deptB-token http://127.0.0.1:7110/v1/agent/services?token=052f467f-9581-cc7c-a8a5-84d8df51dc9d
master-token http://127.0.0.1:7110/v1/agent/services?token=cd76a0f7-5535-40cc-8696-073462acc6c7
可以发现deptA-token只能看到部门A的服务，deptB-token只能看到部门B的服务，master-token可以看到所以的。 另外取消注册，注册之类的验证大家可以自己试试，都与上面的方式差不多，只不过要使用不同的Http API ， www.consul.io/api/agent/s… 提供的关于服务相关的api。

参考：

www.consul.io/api/agent/s… www.consul.io/docs/agent/… 文章之后会第一时间发于微信， 欢迎关注我的微信公众号，大家一起交流学习

转载于:https://juejin.im/post/5cf7eb275188254bf1610ca8

weixin_34124939
关注
k8s部署java微服务程序时，关于配置conusl acl token的方法总结
天草二十六
02-27 923
环境变量这么整下来，到底应该去哪看呢？当进入pod容器，ps进程也看不到。只有输入env | grep consul才能看到应用程序的环境变量。好了，本文就总结到这里。
配置token_Consul ACL集群配置
weixin_39933414的博客
11-24 969
Consul System informationserver version: v1.2.3KV Store Endpointsurl: http://host:port/v1/kv/:keyRead keyMethod: GETUrl: /kv/:keyParameters(Not all)raw (bool: false) - Specifies the response is just t...
consul配置ACL
u011105165的博客
05-17 2057
1、consul配置文件目录下新增配置文件acl.json 内容如下（实际使用时，将注释删除才可使用） { "acl_datacenter": "dc1", //需要acl配置的数据中心 一般默认是dc1 除非启动时指定了 data-center配置 "acl_master_token": "********", //这个是随机生成的字符串，不要含有 + 号和空格 以及一些会引起base64问题的字符 "acl_default_policy": "deny.
consul配置ACL安全认证
最新发布
菜鸟运维升级之路
09-11 1360
因为现阶段属于护网期,因此公司对服务器、业务的安全都很关注,只要再次期间被漏扫出来的漏洞，都需要及时响应处理,恰好昨天下午我负责维护的一个项目被漏扫出来了Consul未授权访问漏洞【原理扫描】HashiCorp Consul 安全漏洞(CVE-2021-41803)这两个漏洞，经过查询漏洞编号及名称，并验证该项目上的consul，才发现是因为该consul未配置任何安全认证,即当在浏览器访问consul的web界面时会直接暴露出已注册的services、nodes等相关信息，容易导致信息泄露。
consul配置
u011105165的博客
05-17 3507
配置文件 除了命令行选项之外，配置还可以放入文件中。在某些情况下，这可能更容易，例如使用配置管理系统配置Consul时。 配置文件是JSON格式的，使得它们易于被人类和计算机读取和编辑。该配置被格式化为一个单独的JSON对象，并在其中进行配置。 配置文件不仅用于设置代理，还用于提供检查和服务定义。这些用于向其他群集宣布系统服务器的可用性。它们分别在检查配置和服务配置下分别记录。服务和检查定义支持在重新加载期间进行更新。 »示例配置文件 { "datacenter": "east-aws", ".
Consul之ACL加上token-yellowcong
01-15 2574
这个是Consul 1.4.2 ,这个主要有5步骤，1. 创建acl.json 在配置文件夹中（-config-dir=/etc/consul），2.启动服务，启动的时候，需要指定启动目录以及数据目录。3.创建初始化密钥，这个密钥是根密钥，其他的token都是基于这个给弄出来的。4.配置agent的acl策略，然后创建token。 5.添加token到consul启动的配置文件中。6.设置匿名用...
运维小姐姐说这篇Consul集群和ACL配置超给力(保姆级)
zyq025的专栏
03-24 484
前言 上一篇简单介绍了Consul，并使用开发模式（dev）进行流程演示，但在实际开发中需要考虑Consul的高可用和操作安全性，所以接着来聊聊集群和ACL的相关配置，涉及到的命令会在环境搭建过程中详细介绍。 正文 关于集群，第一反应就是多搞几台机器(或者容器等)，将其关联在一块，提供功能即可；在搭建集群环境之前，需要对几个角色进行熟悉，因为在Consul中，它们至关重要。见下图(以一个数据中心为例)： 数据中心(DataCenter)：Consul运行的节点集连接在一起称为数据中心..
consul-migrate:用于迁移Consul ACL令牌的宝石
05-09
consul-migrate使用此API从当前权威的ACL数据中心导出ACL令牌，并将其导入到另一个数据中心。 安装 将此行添加到您的应用程序的Gemfile中： gem 'consul-migrate' 然后执行： $ bundle 或将其自己安装为： $ ...
使用docker-compose一键离线部署consul v1.18.1容器版ACL分布式集群工具
09-05
实现功能如下： 1、支持ARM64、X86_64架构CPU 2、支持单实例部署 3、支持单机伪集群部署...5、支持数据目录、日志目录、端口、ACL令牌token、Gossip Encryption Key参数灵活配置 6、支持创建、启动、停止、卸载等操作
consul配置mysql集群_consul集群部署-01
weixin_35963855的博客
02-06 554
consul介绍Consul包含多个组件,可是做为一个总体,为你的基础设施提供服务发现和服务配置的工具.他提供如下关键特性:服务发现 Consul的客户端可用提供一个服务,好比 api 或者mysql ,另一些客户端可用使用Consul去发现一个指定服务的提供者.经过DNS或者HTTP应用程序可用很容易的找到他所依赖的服务.健康检查 Consul客户端可用提供任意数量的健康检查,指定一个服务(好比...
consul集群搭建以及ACL配置
weixin_34301132的博客
10-14 872
由于时间匆忙，要是有什么地方没有写对的，请大佬指正，谢谢。文章有点水，大佬勿喷这篇博客不回去深度的讲解consul中的一些知识，主要分享的我在使用的时候的一些操作和遇见的问题以及解决办法。当然有些东西官方文档上面也是有的 学习一种工具最好的方式还是去看官方文档，这是血与泪的经验教训。 1.consul集群的搭建 consul是google...
搭建带ACL控制的Consul集群
qq_40965644的博客
07-03 288
1.设备 机器ip(机器名) http端口 Agent类型 节点名称 192.168.43.120 8500 server consul-server1 192.168.43.121 8500 server consul-server2 192.168.43.122 8500 client带UI consul-client1 2.配置文件 文件放入位置：/usr/bin/start-conf/ server1：把其他节点加入集群 { "datacenter":"dc1",
consul命令行查看服务_通过 Consul-Template 实现动态配置服务
weixin_39952182的博客
12-20 1415
Consul-Template简介Consul-Template是基于Consul的自动替换配置文件的应用。在Consul-Template没出现之前，大家构建服务发现系统大多采用的是Zookeeper、Etcd+Confd这样类似的系统。Consul官方推出了自己的模板系统Consul-Template后，动态的配置系统可以分化为Etcd+Confd和Consul+Consul-Template...
consul--基础--06--ACL
zhou920786312的博客
11-07 2394
Consul使用 Access Control Lists 来保护对UI、API、CLI、服务通信和代理通信的访问。
Consul ACL访问权限控制
fomeiherz的专栏
12-23 7004
提前准备 版本：V1.6.2 下载：https://www.consul.io/downloads.html 配置文件：config-acl.json { "datacenter":"tencent-datacenter", "data_dir":"/usr/local/consul-1.6.2/data", "log_file":"/usr/local/consul-1....
Consul中文文档—更换策略令牌(Consul ACL进阶三)
shuai_wy的专栏
12-17 621
Consul ACL更换策略令牌(Consul ACL Rotate a token)
记一次对HTB靶场的渗透测试
MNK_xwf的博客
01-07 482
攻击地址：10.10.14.30 靶机地址：10.10.11.183 信息搜集阶段 利用nmap对靶机地址进行全端口扫描： 能看到目标地址开放了22，80，3000，3306端口，至于udp端口我也懒得扫，这种靶场没几个开放了的 用浏览器分别访问22，80，3000，3306端口结果只有3000端口开放，一看，是grafana系统 不过这个没怎么接触过，用searchsploit搜了一下 发现了一个任意文件读取漏洞刚好有对应的脚本我们直接下载 利用命令： python3 5058
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值