下面这份内容不是“跑起来就算完”的示例，而是站在生产可控、权限可审计、风险可收敛的角度，完整讲清 Docker 创建 Consul 并启用权限控制（ACL） 的正确姿势。
我会按原理 → 实操 → 校验 → 风险点的逻辑展开，直击核心。

---

Docker 创建 Consul 并添加权限控制（ACL）完整实战解析 🚀

---

一、先把话说清楚（非常重要）⚠️

如果你 Docker 里跑 Consul 但不开 ACL，那只有一句评价：

功能可用，但安全不可控

Consul 默认是“全开放模式”：

• 任何人都能注册服务

• 任何人都能读写 KV

• 任何人都能调用 API

👉 在生产环境，这是严重风险点。

---

二、Consul 权限控制的核心原理（先理解再动手）🧠

Consul 的权限控制基于 ACL（Access Control List），核心由三部分组成：

组件	作用
ACL Token	身份凭证
Policy	权限规则
Role / Binding	Token 与权限的绑定

📌 一句话理解：
没有 Token = 游客
Token 不对 = 拒绝
权限不够 = 禁止操作

---

三、Docker 方式部署 Consul（单节点示例）🐳

1️⃣ 创建数据目录（非常关键）

mkdir -p /data/consul/{data,config}

解释说明：

• data：存储 Consul 状态数据

• config：存放配置文件

• 数据必须持久化，否则重启即“失忆”

---

2️⃣ 编写 Consul 核心配置文件

/data/consul/config/consul.hcl

datacenter = "dc1"
node_name  = "consul-node-1"

data_dir = "/consul/data"

server = true
bootstrap_expect = 1

ui = true

client_addr = "0.0.0.0"

acl {
  enabled = true
  default_policy = "deny"
  enable_token_persistence = true
}

参数逐条解释（重点）

• server = true
  👉 作为 Server 节点运行

• bootstrap_expect = 1
  👉 单节点模式（生产集群需 ≥3）

• ui = true
  👉 启用 Web UI

• client_addr = "0.0.0.0"
  👉 允许容器外访问（必须配合 ACL）

• acl.enabled = true
  👉 开启权限控制核心开关

• default_policy = "deny"
  👉 默认拒绝，一切从零授权

• enable_token_persistence = true
  👉 Token 持久化，防止重启失效

---

四、使用 Docker 启动 Consul 🧱

docker run -d \
  --name consul \
  -p 8500:8500 \
  -p 8600:8600/udp \
  -v /data/consul/data:/consul/data \
  -v /data/consul/config:/consul/config \
  consul:latest \
  agent -config-dir=/consul/config

命令解释说明

• -p 8500：HTTP API + UI

• -p 8600/udp：DNS 服务

• -v：挂载数据与配置，保证持久化

• agent：以 Agent 模式启动

• -config-dir：加载 ACL 配置

📌 到这里，Consul 已经运行，但谁都没权限

---

五、初始化 ACL 系统（关键步骤）🔑

1️⃣ 进入容器

docker exec -it consul consul acl bootstrap

返回示例（重点内容）

AccessorID:   xxxxx
SecretID:     yyyyy
Description:  Bootstrap Token

👉 SecretID 就是 Root Token
👉 必须妥善保存，丢了只能重建集群

---

六、创建最小权限策略（示例）🛡️

1️⃣ 编写策略文件

app-policy.hcl

service_prefix "" {
  policy = "read"
}

key_prefix "app/" {
  policy = "write"
}

策略含义解释

• 所有服务：只读

• app/ 前缀 KV：可读写

• 其他 KV：禁止访问

👉 这是典型“最小权限原则”

---

2️⃣ 创建策略

consul acl policy create \
  -name "app-policy" \
  -rules @app-policy.hcl \
  -token ROOT_TOKEN

解释说明：

• -token 必须使用 Root Token

• 该命令只是“定义规则”，不授予任何人

---

七、创建应用 Token（真正给程序用）🎟️

consul acl token create \
  -description "app-token" \
  -policy-name "app-policy" \
  -token ROOT_TOKEN

返回结果中：

SecretID: app-token-xxxx

👉 这个 Token 才是 应用真实使用的凭证

---

八、应用如何使用 Token（非常重要）🔗

1️⃣ HTTP API 调用方式

X-Consul-Token: app-token-xxxx

2️⃣ 环境变量方式（推荐）

export CONSUL_HTTP_TOKEN=app-token-xxxx

📌 Consul 客户端会自动读取该变量。

---

九、权限控制生效验证（必须做）✅

1️⃣ 不带 Token 访问

curl http://localhost:8500/v1/kv/app/test

👉 结果：403 Permission denied

---

2️⃣ 带 Token 访问

curl \
  -H "X-Consul-Token: app-token-xxxx" \
  http://localhost:8500/v1/kv/app/test

👉 成功返回，说明权限模型生效。

---

十、ACL 工作流程总结（结构化理解）🧩

请求进入
↓
是否携带 Token
↓
Token 是否有效
↓
是否绑定策略
↓
是否命中规则
↓
允许 / 拒绝

---

十一、生产环境必须注意的 5 个点 ⚠️

1. Root Token 只用于管理，禁止写入应用

2. 每个应用独立 Token

3. 禁止使用 default_policy = allow

4. Token 必须持久化

5. 定期审计 Policy 与 Token 使用情况

---

十二、一句话结论（不兜圈子）⚡

Consul 不加 ACL ≠ 简单
而是把“配置中心”变成“公共厕所”

只要你在 Docker 里跑 Consul，
ACL 不是可选项，是必选项。

如果你需要，我可以继续帮你 设计一套多应用、多环境（dev / test / prod）的 Consul ACL 权限模型，不是概念图，是直接能用的那种。