文章目录

• Docker下部署Consul集群和ACL权限配置
• 规划与准备
• 搭建Consul集群
• 创建server1配置文件，启动server1节点
• 创建server2配置文件，启动server2节点
• 创建server3配置文件，启动server3节点
• 加入集群
• 验证Consul集群选举机制
• 配置join参数，节点自动加入集群
• server节点退出集群
• 节点自动加入集群
• 节点之间加入通讯密钥
• 增加ACL token权限配置
• 启用ACL，配置master token
• 配置agent token

Docker下部署Consul集群和ACL权限配置

规划与准备

本次计划部署的consul集群有3个节点，都是server类型

把consul的数据文件都映射到宿主机上，有利于备份数据以及方便以后重构容器。
宿主机建立目录server1、server2、server3，下面分别存放3个consul节点的信息：

搭建Consul集群

创建server1配置文件，启动server1节点

1. 创建server1的配置文件：

2. 启动节点consul_server_1

docker run命令说明：

• Environment Variable（环境变量）：
  CONSUL_BIND_INTERFACE=eth0：在容器启动时，自动绑定eth0端口的IP地址

• docker参数：
  -e：将时区信息传入到容器内部
  -d：Daemon模式
  -p：绑定端口
  –privileged：表示以root权限运行
  –name：指定实例名称
  consul：consul启动命令

启动后，因为配置了bootstrap_expect=3，但只启动了一个server，所以会报错：没有集群领导者

创建server2配置文件，启动server2节点

1. 创建server2的配置文件：

2. 启动节点consul_server_2

创建server3配置文件，启动server3节点

1. 创建server3的配置文件：

2. 启动节点consul_server_3

加入集群

1. 查看节点server2、server3的IP，然后通过join命令把全部节点加入集群

2. 查看后台日志：

3. 查看成员

4. 查看集群的选举情况，领导者为哪个节点等信息

5. 访问ui，节点正常，标星的节点表示是leader
   

验证Consul集群选举机制

Consul中只有server节点会参与Raft算法并且作为peer set中的一部分。Raft中的节点总是处于以下三种状态之一: follower、candidate或leader。目前server1是leader，我们下面重启consul_server_1容器，观察consul集群变化情况。

1. 重启consul_server_1

2. 观察server2和server3的日志，consul_server_2后台日志：

3. consul_server_3后台日志：

4. consul_server_1重启后，查看领导者，此时consul_server_3已被推选为领导者：

配置join参数，节点自动加入集群

在Consul集群中，一个节点优雅退出，不会影响到集群中其他节点的正常运行，而集群的数据中心会把离开的节点标志为left状态，等到该节点重新加入集群，状态会变为alive，默认情况下，数据中心会保留离开节点信息72小时，72小时候后如果仍然没有加入集群，则会把该节点的信息移除掉。

server节点退出集群

下面演示节点退出的情况：

1. consul_server_2优雅退出

2. 查看成员状态，

3. 查看leader

查看后台日志，没有报错，访问ui正常，说明配置文件的bootstrap_expect=3，只是在创建集群的时候期待的节点数量，如果达不到就不会初次创建集群，但节点数据量达到3后，集群初次创建成功，后面如果server通过优雅退出，不影响集群的健康情况，集群仍然会正常运行，而优雅退出的集群的状态会标志为“left”。

4. 重新启动consul_server_2后，不会自动加入集群，因为配置文件没有start_join和retry_join参数，需要通过命令consul join加入集群，通过consul_server_2或者集群中的其他server发起命令都可以：

或者：

节点自动加入集群

全部server的配置文件添加start_join和retry_join参数，可以在重启后自动集群。

1. 参看各个server的ip：

2. 分别编辑各个server的配置文件

3. 重载配置文件，验证配置是否正确

4. 配置正确，以后重启consul server，或者优雅退出后再启动，会自动加入集群，无需使用命令join。

节点之间加入通讯密钥

增加通讯密钥，可以防止其他节点加入集群。步骤如下：

1. 使用consul keygen命令生成通讯密钥

2. 把密钥信息分别写入3个server的配置文件中

3. consul重新加载配置文件

4. 实验中，发现重载配置文件后，其他节点仍然可以加入集群，需要重新启动consul

后面如果有新的节点，要加入集群中，必须提供encrypt才行。

5. 再创建一个节点server4，尝试加入有密钥的集群：
   5.1 创建配置配置文件：

5.2 启动server4

5.3 尝试加入集群，失败：

5.4 在配置文件中加入通讯密钥

5.5 重载配置文件，然后尝试加入集群，仍然失败，说明添加密钥都需要重启consul才生效

5.6 重启server4，加入集群成功！

增加ACL token权限配置

配置master的token，master的token可以自由定义，但为了与其他token格式一致，官方建议使用64位的UUID。consul的配置文件可以有多个，文件后缀名可以是json或者hcl，我们这里使用hcl来演示。

启用ACL，配置master token

Consul的ACL功能需要显示启用，在配置文件中通过设置参数acl.enabled=true即可。
下面演示了两种方法来配置ACL，个人推荐方法二。
方法一：配置acl.enabled=true，然后通过命令consul acl bootstrap生成token，之后把改token作为master的token。

1. 添加配置文件acl.hcl：

2. 重载配置文件，创建初始token，生成的SecretID就是token

3. 修改配置文件acl.hcl，加入mater token

4. 重启服务，验证

方法二：

1. 使用linux的uuidgen命令生成一个64位UUID作为master token

2. 编写acl.hcl文件文件

修改config.json配置，把bootstrap_expect修改成1

3.重载配置文件，验证是否正确。

4. 优雅关闭其他server，重启consul_server_1容器

5. 访问ui，提示需要输入token，输入我们上面的mater token即可
   

6. 此时，使用consul大部分命令，都需要带上token，否则报错：

带上token参数：

7. 不是在docker启动的consul，可以通过增加环境变量CONSUL_HTTP_TOKEN代替每次命令后带token参数

在docker运行中的consul容器，目前不清楚怎么修改环境变量永久生效，但可以rm移除旧容器，然后在run的时候添加上环境变量，这里就不演示了。

查看consul_server_1容器的全部环境变量

查资料CONSUL_BIND_INTERFACE是什么参数

配置agent token

agent token是每个集群都需要的token
没有配置agent token，查看日志报以下警告：

1. 使用API生成全权限的token作为agent token，可以根据实际情况分配agent token的权限

2. 把生成的token写入到配置文件acl.hcl中

3. 重载配置文件，这里无需重启consul或者容器

4. 查看日志，重载配置文件后，已经不报任何警告了

5. 在集群中acl的配置信息是一致的，所以直接把server1的acl.hcl配置文件复制到其他server节点的配置文件夹下即可

6. 重启其他容器，查看集群情况

可以看到，由于前面配置了join参数，所以节点会自动加入集群。
7. 分别访问各个server的ui，查看到的token信息是一致的

至此，consul集群搭建和ACL token权限配置完成！

其他联想：
如果第一个节点配置了bootstrap:true或者bootstrap_expect=1，那么自己就会是领导，后面的节点在启动前，就可以在配置文件中加入start_join和retry_join的配置信息，然后启动，自动加入集群；
如果第一个节点配置的是bootstrap_expect=n（n大于1），那么由于没有达到节点数，所以一直不会有leader节点，所以后面的节点在启动前，如果配置了start_join和retry_join就会报错，所以只能在启动后，通过consul join命令来加入集群。