consul配置ACL

Posted 2023-02-25

参考技术A consul配置ACL

consul的ACL激活需要在所有的consul节点上，办法是，创建一个json格式的配置文件：

放置到consul agent通过参数-config-dir指定的目录下面，缺省目录是：/consul/config/
注意几点：

此时产生的bookstrap就是字符串SecretID: 245d0a09-7139-bbea-aadc-ff170a0562b1。
注意这个bootstrap token的安全不能外泄，不能丢失，后面的创建其他token都需要用到它。

参数token就是另一个management token，在这个例子中就是bootstrap token。这样7fa04e1d-1b75-81b0-52d3-e311ad3c28f7就是另外一个management token了，具有"root"的权限。

client token才是真正需要对其授权的token。
创建一个client token需要两步，先创建client policy，然后才能创建client token。

4.1 创建client policy

注意这里client-policy.json里面Rules可以为node_prefix, service_prefix，和key_prefix；在我这个例子中只使用了key_prefix因为我们只需要KV访问，没有service discover功能。

4.2 创建client token

4.3 上述两步可以合并成一步执行

不过这个API已经被consul标记位Legacy Tokens了。

验证，创建一个KV，然后使用client token访问KV：