首页 > 代码库 > consul 配置---K/V存储及ACL

consul 配置---K/V存储及ACL

consul 配置—K/V存储及ACL

标签(空格分隔): consul


  • Consul简介
  • 安装及运行
  • K/V存储
  • Java案例(基于Spring boot)
  • ACL配置
  • 小结

1.Consul简介

1.1 consul的作用

  • 服务发现
    • Consul clients提供服务(例如API)
    • 其他的client发现服务的提供者(通过DNS或http,应用可以轻松的发现他们所依赖的服务)
  • 健康检查
  • Key-Value存储操作
    • 动态配置
    • leader选举
    • feature flagging
    • coordination
  • 多数据中心(DC)
    • 用于容灾

1.2 consul的基本架构

  • 一个consul节点对应一个consul agent
    • agent会负责节点的健康检查和节点上的服务的健康检查
  • agent分为server和client
    • server
      • 存储数据
      • 复制数据
      • servers们自己选择一个leader
      • 每个数据中心推荐有3或5个server(官方推荐,但是只用单节点做server也是可以的,只是可能会数据丢失,两个节点的话,一个挂了,还是无法选举出leader,所以推荐3-5个)
    • client
      • 个人感觉client只是作为一个与server交互的agent而已

2.安装及运行

安装

  • OSX系统 : 1. 如果安装了homebrew,直接 brew install consul进行安装, 如果没有,从https://www.consul.io/downloads.html选择合适的down下来之后解压安装
  • Linux系统:从https://www.consul.io/downloads.html上down下来, unzip解压, scp consul /usr/local/bin 再输入consul,如出现提示信息,则说明安装成功

启动

  • 以server模式启动

    • consul agent -server -bootstrap-expect 3 -data-dir /tmp/consul -node=service-center -bind=127.0.0.1 -client 0.0.0.0 -ui -config-dir ~/.consul_config/
  • 以client模式启动节点(非server都是client)

    • consul agent -data-dir /tmp/consul -node=qianweifeng-mac -bind=192.168.15.16 -join 192.168.15.19
  • 集群模式

    • consul的集群搭建相对容易,一般需要用3-5个server节点来搭建一个集群,启动方式就想上面说的server启动方式一致,就是在加上 -join ip地址 即可。至于3-5个节点,之前也说过,官方推荐,确实根据consul的leader推举机制来说,最少需要3个节点。
    • 举个小例子:
      现有节点A,B ,我们需要组建集群,那么自然是start A, start B, A join B (反过来也一样),如此,A,B就相互认识了。
      此时有一个节点C要加入集群,我们不需要 C join A, C join B, 只需要选择A,B中的一个进行join就可以了。
      其中的原理是给予gossip协议完成的

关键指令介绍

agent 相当于是一个客户端,我觉得consul是没有意义明确的客户端与服务端的,只是节点启动的模式不同,而不是由运行于该节点之上的程序所决定的,所以agent相当于是一个客户端代理,通过它我们可以与consul集群进行交流。

-server 以server模式启动节点,相对的还要-client, 不过如果不指定-server,默认就是-client

-bootstrap-expect 3 这个东西是告诉consul集群,我们预计有3个server节点,该参数是为了延迟日志复制的启动直到我们指定数量的server节点成功的加入后启动。

-data-dir 指定agent储存状态的数据目录,比较重要

-config-dir 指定一个要装载的配置文件,可以是一个文件,也可以是一个目录下的所有文件,文件以.json后缀

-node 该节点在集群中的名称,具有唯一性,推荐直接用机器ip,便于区分辨别

-bind 说明该agent绑定的地址,通常情况是绑定本机

-join 加入集群

-rejoin 效果同上不过是在退出集群后再加入进去用的

特别注意:
-client 0.0.0.0 -ui 这个东西是为了能远程访问WEB UI界面,高版本的consul在远程访问WEB UI界面上似乎有些问题,也可能是我哪里没有配置好,所以访问不了。
使用这个指令后就可以远程访问了(目测这个指令的意思是,允许任何IP的客户端来访问WEB UI)

3.K/V存储

关于K/V的作用在上一节已经说明了,这里来讲讲其具体应用。
技术分享

技术分享

这个东西的话用来做动态配置比较多,比如我们有一些数据库配置,如果配置在本地,那么每次启动服务时还需要注意这些配置启动的正不正确,上传到测试环境时,也需要修改这些配置。但是如果我们用了K/V,我们要做的只是从不同的K/V拉去配置,而不需要修改代码。更重要的是,有一些非启动阶段读取的配置(也就是用到在读取的配置),可以做到动态更改,而不需要重启程序。


4.Java案例(基于Spring boot)

这里就动态配置,给出一个基于Spring Boot的具体案例

1.maven依赖

<!--consul-->
        <dependency>
            <groupId>com.orbitz.consul</groupId>
            <artifactId>consul-client</artifactId>
            <version>0.10.0</version>
        </dependency>
        <!-- consul需要的包 -->
        <dependency>
            <groupId>org.glassfish.jersey.core</groupId>
            <artifactId>jersey-client</artifactId>
            <version>2.22.2</version>
        </dependency>
         <!-- 动态配置的实现 -->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-actuator</artifactId>
        </dependency>
        <!-- archaius -->
        <dependency>
            <groupId>com.netflix.archaius</groupId>
            <artifactId>archaius-core</artifactId>
            <version>0.6.6</version>
        </dependency>
        <!-- 动态配置,archaius底层 -->
        <dependency>
            <groupId>commons-configuration</groupId>
            <artifactId>commons-configuration</artifactId>
            <version>1.8</version>
        </dependency>
         <!-- 这个只是一个比较easy的consul client api,与第一个选一个用即可 -->
        <dependency>
            <groupId>com.github.dcshock</groupId>
            <artifactId>consul-rest-client</artifactId>
            <version>0.7</version>
        </dependency>
package com.config.center.config;

import com.config.center.common.CommonConstants;
import com.config.center.consul.ConsulInfo;
import com.config.center.consul.ConsulPropertySource;
import com.orbitz.consul.AgentClient;
import com.orbitz.consul.Consul;
import com.orbitz.consul.NotRegisteredException;
import consul.ConsulException;
import org.apache.commons.lang3.StringUtils;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.context.support.PropertySourcesPlaceholderConfigurer;
import org.springframework.core.env.ConfigurableEnvironment;

import javax.annotation.PostConstruct;
import java.io.IOException;
import java.net.URI;

/**
 *
 * @author qwf
 * @version 2015-08-17
 */
@Configuration
public class ConsulConfig {
    @Autowired
    private ConfigurableEnvironment env;

    @PostConstruct
    public void init() throws ConsulException, IOException, NotRegisteredException {
        ConsulInfo info = getConsulInfo();
        if (info != null) {
            env.getPropertySources().addFirst(new ConsulPropertySource("consul", info));
        }
    }

    /***
     * 注册服务+健康检查
     * 这里用了两种不同的consul client
     * 因为一种对于KeyClient的处理相对方便,但是对于check的注册支持却不行,只能支持script检查
     * 另一种对于KeyClient的处理相对麻烦,但是对于注册以及check的定义相对方便
     * @return
     * @throws ConsulException
     * @throws IOException
     * @throws NotRegisteredException
     */
    public ConsulInfo getConsulInfo() throws ConsulException, IOException, NotRegisteredException {
        //tag 来自于启动参数 -Dservice.tag=dev
        String tag = env.getProperty(CommonConstants.CONSUL_TAG);
        if (StringUtils.isBlank(tag)) {
            throw new RuntimeException("not specified " + CommonConstants.CONSUL_TAG);
        }

        if ("local".equals(tag)) {
            return null;
        }
        String service = CommonConstants.CONSUL_SERVICE_NAME;
        Consul consul = Consul.builder().build();            //建立consul实例
        AgentClient agentClient = consul.agentClient();
        agentClient.register(8800, URI.create("http://localhost:8800/health").toURL(), 3, service, "config-center", tag);
//        consul.agent().register(new ServiceProvider("config-center",
//                service, 8800,
//                new String[]{tag}));
//        consul.agent().checkRegister(new AgentCheck("id", service, "", "http://localhost:8800/health", "10s", "15s"));
//        Consul consul = new Consul("http://localhost", 8500);
//        KeyValue keyValue = http://www.mamicode.com/new KeyValue(consul);
        String keyName = String.format("service/%s/%s/config", service, tag);

        return new ConsulInfo(keyName, null);
    }

    /**
     * IMPORTANT:
     * 保证consul配置获取第一个被加载,防止spring启动的时候从本地加载配置
     * 后期添加配置,如果依赖environment,也需要denpendsOn这个
     */
    @Bean
    public Object trick() {
        System.out.println("trick");
        return "trick";
    }


    @Bean
    public static PropertySourcesPlaceholderConfigurer placeHolderConfigurer() {
        return new PropertySourcesPlaceholderConfigurer();
    }
}
package com.config.center.consul;

import com.netflix.config.PollResult;
import com.netflix.config.PolledConfigurationSource;
import com.orbitz.consul.Consul;
import com.orbitz.consul.KeyValueClient;
import org.apache.http.util.TextUtils;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;

import java.io.StringReader;
import java.util.HashMap;
import java.util.Map;
import java.util.Properties;

/**
 * ConsulConfigurationSource
 *
 * @author qwf
 * @version 2016-08-17
 */
public class ConsulConfigurationSource implements PolledConfigurationSource {

    public static final Logger LOGGER = LoggerFactory.getLogger(ConsulConfigurationSource.class);
    private ConsulInfo consulInfo;

    public ConsulConfigurationSource(ConsulInfo consulInfo) {
        this.consulInfo = consulInfo;
    }

/**
*动态拉去配置,默认60s拉一次
*/
    @Override
    public PollResult poll(boolean initial, Object checkPoint) throws Exception {
        String str = null;
        try {
            Consul consul = Consul.builder().build();
            KeyValueClient kvClient = consul.keyValueClient();
            str = kvClient.getValueAsString(consulInfo.getKeyName()).get();
        } catch (Throwable e) {
            LOGGER.error("get property from consul error", e);
        }
        Map<String, Object> map = new HashMap<>();
        if (TextUtils.isBlank(str)) {
            return PollResult.createFull(map);
        } else {
            Properties properties = new Properties();
            properties.load(new StringReader(str));
            for (Map.Entry<Object, Object> entry : properties.entrySet()) {
                map.put(entry.getKey().toString(), entry.getValue());
            }

            return PollResult.createFull(map);
        }
    }
}
package com.config.center.consul;

import com.netflix.config.ConfigurationManager;
import com.netflix.config.DynamicConfiguration;
import com.netflix.config.FixedDelayPollingScheduler;
import org.springframework.core.env.MapPropertySource;

import java.util.HashMap;

/**
 * ConsulPropertySource
 *
 * @author qwf
 * @version 2015-08-17
 */
public class ConsulPropertySource extends MapPropertySource {
    private DynamicConfiguration configuration;

    public ConsulPropertySource(String name, ConsulInfo consulInfo) {
        super(name, new HashMap<String, Object>());

        FixedDelayPollingScheduler scheduler = new FixedDelayPollingScheduler();
        scheduler.setIgnoreDeletesFromSource(true);
        DynamicConfiguration configuration = new DynamicConfiguration(
                new ConsulConfigurationSource(consulInfo), scheduler);
        ConfigurationManager.install(configuration);
        this.configuration = configuration;
    }

    @Override
    public Object getProperty(String name) {
        return configuration.getProperty(name);
    }
}
package com.config.center.consul;


import com.orbitz.consul.KeyValueClient;
import consul.Consul;
import consul.KeyValue;

/**
 * ConsulInfo
 *
 * @author qwf
 * @version 2015-08-17
 */
public class ConsulInfo {
    private String keyName;
    private KeyValue keyValue;

    public ConsulInfo(String keyName, KeyValue keyValue) {
        this.keyName = keyName;
        this.keyValue = http://www.mamicode.com/keyValue;"hljs-keyword">public String getKeyName() {
        return keyName;
    }

    public void setKeyName(String keyName) {
        this.keyName = keyName;
    }

    public KeyValue getKeyValue() {
        return keyValue;
    }

    public void setKeyValue(KeyValue keyValue) {
        this.keyValue = http://www.mamicode.com/keyValue;>

配置如上即可,代码比较简单。
需要注意的是启动时保整本地的consul agent连接到集群server,以及指定一个consul tag,如果tag为“local”,那就不从consul读配置

运行后即可看到动态配置的效果。


4.ACL配置

ACL即为“Access Control List”,用来给consul做一些权限控制的(一定程度上弥补了没有登录校验的场景)

网上ACL的教程比较少,基本就是介绍下ACL是什么,官方也没有给出具体配置,只是讲了各个属性的作用
推荐http://www.tuicool.com/articles/2InMV36这篇文章讲的还可以,不过精华是里面引用的那篇日文文章。

那直接进入主题

consul的acl配置
经过老夫的对文档的查阅以及多次测试,得出的结论:
1.启动consul的all模式时,配置文件:

{
“acl_datacenter”: “datacenter-tag”,
“acl_master_token”: “xxxxxxxxxx”, //这个token就是上面的种子token用来生成其余token
“acl_default_policy”: “deny” //开启acl
}
这三个是必要的base属性。

  • acl_default_policy:不配置rule规则的情况下对于默认行为的处理(可配置为allow,deny)
    对于这个,解释一下consul的白名单与黑名单
    当acl_default_policy为deny是,默认的api(写)行为都会被阻止,我们可以配置其子项,让比如配置key可写,这样在全部deny的情况下,出现了一个默认可写的行为,这就是白名单
    黑名单反之,当acl_default_policy为allow时,默认行为都是允许的,我们可以配置子项使它某些行为为deny,这就是黑名单的概念
    若要开启all,acl_default_policy需要设置成deny

  • acl_master_token:这个是自己指定的,随便来一串字符串就可以了

  • acl_datacenter:all作用的数据中心

这样配置就完成了初始工作,在启动consul节点时需要加入该配置 -config-dir [配置文件的路径/或者配置文件的父目录]

此时我们访问consul的web ui时,(如果不设置token的情况)是作为陌生人的模式访问的,默认情况(不设置白名单),我们只能看到services,node里的内容,key/value是屏蔽的(无法读写),acl没有权限

2.创建子token

我们不能一直用最高权限的master token吧
curl -H “X-Consul-Token: secret” -X PUT -d ‘{“Name”: “dc1”, “Type”: “management”}’ http://192.168.15.19:8500/v1/acl/create?token=xxxxxxxx

Name:token的name
Type:token的类型,有client跟management
token:我们上面说到的master token

会返回类似{“ID”:”54776fd0-510a-875b-8e50-83e8cda3f5d6”}

这个ID就是我们需要的子token

在配置中加入这个token,即可拥有相关的权限,需要注意的是,token不要加错,加错了会很麻烦,比如403forbidden,而且这个是浏览器清缓存有没用的东西,老夫暂时还没搞清楚要咋整(似乎把浏览器的缓存清理掉就能行)。

在说另一种acl方式,这种方式更为直接,如果token不对直接连web ui都访问不了,而且特点是屏蔽的陌生人token

我觉得这种方式是有缺陷的,因为官方并没有类似的说明,而且我个人也认为本身acl就不应该连web ui都控制掉
这种方式下,我们启动acl,此时是无法访问web ui的,因为陌生人模式被“关闭了”,我们需要在此时生成一个子token,然后节点重启,进入非acl模式,此时的配置中加入该token,然后在重启节点,进入acl模式
经测验,这种方式的acl_config.json与上面的不一样
{
“acl_datacenter”: “datacenter-tag”,
“acl_master_token”: “xxxxxxxxxx”, //这个token就是上面的种子token用来生成其余token
“acl_token”: “b9exxxxx-xxxx-xxxx-xxx-xxxxxxxxxx291ba”,//通过种子token生成的token
“acl_default_policy”: “deny” //开启acl
}
上面只需要3个变量,这种方式4个都需要
不过acl_token 似乎是随意的

设置了token的情况
技术分享

不设置token的情况
技术分享


5.小结

说了这么多,最后做个总结。
1.server节点在推出重启后 peers.json会被置null(该文件一般在/tmp/consul下,启动时指定的目录),原本应该是类似 [“192.168.37.42:8300”, “192.168.37.111:8300”,”192.168.37.246:8300”] 这样的json数据(server节点数据),这种情况下在重新启动server节点后会出现No cluster leader这样的错误,consul info 查看节点信息,会发现所有的server节点都是follower,无法选举出leader
解决方案:将[“120.27.37.42:8300”, “121.42.185.111:8300”,”115.28.154.246:8300”]信息回复到peers.json中,再重新启动节点(-rejoin)

2.web ui的访问,如果不能访问,可以查看下启动时是否加了-client 0.0.0.0 -ui 的启动命令。因为高版本的consul似乎在默认情况下,不允许web ui的远程访问(可能是我哪里配置有问题吧),不过加了-client 0.0.0.0 -ui,所有机器都能访问到web ui界面,剩下的就是有没有权限的问题了。


<script type="text/javascript"> $(function () { $(‘pre.prettyprint code‘).each(function () { var lines = $(this).text().split(‘\n‘).length; var $numbering = $(‘
    ‘).addClass(‘pre-numbering‘).hide(); $(this).addClass(‘has-numbering‘).parent().append($numbering); for (i = 1; i <= lines; i++) { $numbering.append($(‘
  • ‘).text(i)); }; $numbering.fadeIn(1700); }); }); </script>

    consul 配置---K/V存储及ACL