consul配置ACL

第0步，几点说明

Consul和其他系统ACL的区别

通常的ACL授权例如etcd使用用户名:密码对的方式来认证用户，用户名是可能是公开的，密码是保密的用户自己知道；但是consul没有使用用户名:密码对的方式，就使用一个token值；那么既然只有一个值，就必须注意保密，不能使用约定的名字字符串，例如root, tom, jerry等，因为别人很容易猜出来，现在consul使用的字符串时UUID，既唯一又随机，不能被猜出来。
consul的三类权限类型
- read：读
- write：读和写
- deny：不能访问，既不能读也不能写了。

第一步，激活ACL

consul的ACL激活需要在所有的consul节点上，办法是，创建一个json格式的配置文件：

$ cat consul-acl.json 
{
  "acl" : {
    "enabled" : true,
    "default_policy" : "deny",
    "down_policy" : "extend-cache",
    "tokens" :{
        "master": "245d0a09-7139-bbea-aadc-ff170a0562b1"
    }
  }
}

放置到consul agent通过参数-config-dir指定的目录下面，缺省目录是：/consul/config/
注意几点：

这个相同的文件需要部署到所有的consul节点上。
关于tokens.master值，这个就是Bootstrap Token
2.1 Bootstrap Token相当于Unix系统中的root，具有所有的权限。
2.2. 其名字可以是任意字符串，不一定是一个UUID值。(原因如前面说，使用UUID为了安全用户无法猜测。)
2.3. tokens.master可以不需要配置，然后在clustor启动之后通过命令产生，如下：

$ consul acl bootstrap
AccessorID:   0274a9e3-1349-78d7-fc53-3dd6f7886626
SecretID:     245d0a09-7139-bbea-aadc-ff170a0562b1
Description:  Bootstrap Token (Global Management)
Local:        false
Create Time:  2019-01-15 06:21:17.335464249 +0000 UTC
Policies:
   00000000-0000-0000-0000-000000000001 - global-management

此时产生的bookstrap就是字符串SecretID: 245d0a09-7139-bbea-aadc-ff170a0562b1。
注意这个bootstrap token的安全不能外泄，不能丢失，后面的创建其他token都需要用到它。

第二步：token的三种类型

management token: 具有root权限的token，前面介绍的master token就属于这类。也可以增加新的management token。
client token: 针对客户端的token，ACL的权限管理主要是针对这类token；当创建client token时需要一个management toke。
anonymous token : 这是系统内置的token。

第三步：创建一个management token

$ curl \
    -H "X-Consul-Token: secret" \
    -X PUT \
    -d '{"Name": "dc1", "Type": "management"}' \
    http://localhost:8500/v1/acl/create?token=245d0a09-7139-bbea-aadc-ff170a0562b1
{"ID":"7fa04e1d-1b75-81b0-52d3-e311ad3c28f7"}

参数token就是另一个management token，在这个例子中就是bootstrap token。这样7fa04e1d-1b75-81b0-52d3-e311ad3c28f7就是另外一个management token了，具有"root"的权限。

第四步：创建client token

client token才是真正需要对其授权的token。
创建一个client token需要两步，先创建client policy，然后才能创建client token。

4.1 创建client policy

$ cat client-policy.json 
{
  "Name": "client-read-policy",
  "Description": "Grants read access to all node information",
  "Rules": "node_prefix \"\" { policy = \"read\"}",
  "Datacenters": ["dc1"]
}

$ curl --request PUT --data @client-policy.json http://127.0.0.1:8500/v1/acl/policy?token=753cc134-36c5-e4ea-6abd-56f8b8b8aa7f
{
  "ID":"778192cf-5459-a6e0-99d6-74919ea61dfc",
  "Name":"client-read-policy",
  "Description":"Grants read access to all node information",
  "Rules":"key_prefix \"\" { policy = \"read\"}",
  "Datacenters":["dc1"],
  "Hash":"0lcW+0xrcZ6OxTwb3ND+7oA+FF8XhXj60J8KGFpEZI0=",
  "CreateIndex":105,
  "ModifyIndex":105
}

$ curl -X GET http://127.0.0.1:8500/v1/acl/policies?token=753cc134-36c5-e4ea-6abd-56f8b8b8aa7f
[
    {
        "CreateIndex": 4,
        "Datacenters": null,
        "Description": "Builtin Policy that grants unlimited access",
        "Hash": "swIQt6up+s0cV4kePfJ2aRdKCLaQyykF4Hl1Nfdeumk=",
        "ID": "00000000-0000-0000-0000-000000000001",
        "ModifyIndex": 4,
        "Name": "global-management"
    },
    {
        "CreateIndex": 105,
        "Datacenters": ["dc1" ],
        "Description": "Grants read access to all node information",
        "Hash": "0lcW+0xrcZ6OxTwb3ND+7oA+FF8XhXj60J8KGFpEZI0=",
        "ID": "778192cf-5459-a6e0-99d6-74919ea61dfc",
        "ModifyIndex": 105,
        "Name": "client-read-policy"
    }
]

注意这里client-policy.json里面Rules可以为node_prefix, service_prefix，和key_prefix；在我这个例子中只使用了key_prefix因为我们只需要KV访问，没有service discover功能。

4.2 创建client token

$ cat client-token.json 
{
   "Description": "client read token",
   "Policies": [
      {
         "Name": "client-read-policy"
      }
   ],
   "Local": false
}

$ curl --request PUT --data @client-token.json http://127.0.0.1:8500/v1/acl/token?token=753cc134-36c5-e4ea-6abd-56f8b8b8aa7f
{
    "AccessorID": "25be308f-43c0-11c8-e620-117e6b91629d",
    "CreateIndex": 115,
    "CreateTime": "2019-01-15T08:00:04.241925426Z",
    "Description": "client read token",
    "Hash": "AZ2/M3PRNDcTULjWcpC8eb6EPVoGUHnCKa0nQghKN0I=",
    "Local": false,
    "ModifyIndex": 115,
    "Policies": [
        {
            "ID": "778192cf-5459-a6e0-99d6-74919ea61dfc",
            "Name": "client-read-policy"
        }
    ],
    "SecretID": "23fe12e4-ac0e-00af-db43-887589f87823"
}

$ curl -X GET http://127.0.0.1:8500/v1/acl/tokens?token=753cc134-36c5-e4ea-6abd-56f8b8b8aa7f
[
    {
        "AccessorID": "25be308f-43c0-11c8-e620-117e6b91629d",
        "CreateIndex": 115,
        "CreateTime": "2019-01-15T08:00:04.241925426Z",
        "Description": "client read token",
        "Hash": "AZ2/M3PRNDcTULjWcpC8eb6EPVoGUHnCKa0nQghKN0I=",
        "Local": false,
        "ModifyIndex": 115,
        "Policies": [
            {
                "ID": "778192cf-5459-a6e0-99d6-74919ea61dfc",
                "Name": "client-read-policy"
            }
        ]
    },
    ...
]

4.3 上述两步可以合并成一步执行

不过这个API已经被consul标记位Legacy Tokens了。

$ cat client-write-policy.json
{                      
  "Name": "client-write-policy",
  "Description": "Grants write access to foo key information",
  "Type": "client",
  "Rules": "key \"foo/test\" { policy = \"write\" }"
}

$ curl --request PUT --data @client-write-policy.json \
  http://127.0.0.1:8500/v1/acl/create?token=753cc134-36c5-e4ea-6abd-56f8b8b8aa7f
{"ID":"1c7c1ca0-d5ee-9d02-f7f4-89dc8759f0c6"}

$ curl -H "X-Consul-Token: 1c7c1ca0-d5ee-9d02-f7f4-89dc8759f0c6" http://127.0.0.1:8500/v1/acl/token/self
{
    "AccessorID": "808d69bf-c4fe-0c9f-9a57-aecd85e7f24e",
    "CreateIndex": 36,
    "CreateTime": "0001-01-01T00:00:00Z",
    "Description": "client-write-policy",
    "Hash": "mpZmxlI5Zi6HeMFQR0A7U77ZD9IKPDr9Nc9Hrqxz/b8=",
    "Local": false,
    "ModifyIndex": 37,
    "Policies": null,
    "Rules": "key \"foo/test\" { policy = \"write\" }",
    "SecretID": "1c7c1ca0-d5ee-9d02-f7f4-89dc8759f0c6"
}

第五步，客户端访问测试

验证，创建一个KV，然后使用client token访问KV：

$ curl --request PUT --data 'hello consul' http://127.0.0.1:8500/v1/kv/foo?token=753cc134-36c5-e4ea-6abd-56f8b8b8aa7f

$ curl --request GET http://127.0.0.1:8500/v1/kv/foo?token=23fe12e4-ac0e-00af-db43-887589f87823
[{"LockIndex":0,"Key":"foo","Flags":0,"Value":"aGVsbG8gY29uc3Vs","CreateIndex":14,"ModifyIndex":14}]

# suppose another token does not have priviledge
$ curl --request GET http://127.0.0.1:8500/v1/kv/foo?token=477ef15e-79b3-8481-b7db-ed7c750b3bea
rpc error making call: rpc error making call: Permission denied

consul配置ACL

猜你喜欢