HashiCorp Nomad 中的 Raw Exec 任务驱动详解-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00621/article/details/148377705

HashiCorp Nomad 中的 Raw Exec 任务驱动详解

nomad hashicorp/nomad: Nomad 是 HashiCorp 公司开发的一款易于部署和管理的调度器，它支持跨数据中心进行容器、虚拟机和任务进程等工作负载的自动化部署与管理。项目地址: https://gitcode.com/gh_mirrors/no/nomad

概述

在 HashiCorp Nomad 中，raw_exec 任务驱动是一个特殊且强大的组件，它允许用户直接执行命令而无需任何资源隔离。本文将深入探讨这一驱动的特性、配置方式以及使用场景，帮助读者全面理解并安全地使用这一功能。

什么是 Raw Exec 驱动

raw_exec 驱动是 Nomad 提供的一种任务执行方式，其核心特点是：

无隔离执行：任务以与 Nomad 进程相同的用户权限运行
直接访问主机资源：可以完全访问宿主机的文件系统和资源
轻量级：相比隔离的驱动（如 Docker），启动开销极小

安全警告

由于 raw_exec 驱动缺乏隔离机制，使用时必须格外谨慎：

默认情况下该驱动是禁用的
任务会以 Nomad 进程相同的用户权限运行
可能对主机系统造成安全风险

建议仅在以下场景使用：

测试环境
完全信任的任务
需要直接访问主机资源的特殊场景

基础配置

在 Nomad 任务定义中，raw_exec 的基本配置如下：

task "example" {
  driver = "raw_exec"
  
  config {
    command = "/path/to/executable"
    args    = ["-flag", "value"]
  }
}

主要配置参数

| 参数 | 描述 | 是否必需 | |------|------|---------| | command | 要执行的命令路径 | 是 | | args | 命令参数列表 | 否 | | cgroup_v1_override | 指定 cgroup v1 控制器路径 | 否 | | cgroup_v2_override | 指定 cgroup v2 路径 | 否 | | oom_score_adj | OOM 杀进程优先级调整 | 否 | | work_dir | 任务工作目录 | 否 | | denied_envvars | 禁止传递的环境变量 | 否 |

高级特性

1. 资源控制

虽然 raw_exec 不提供隔离，但可以通过以下方式实现部分资源控制：

resources {
  cpu    = 500   # 500 MHz CPU 保留
  memory = 1024  # 1GB 内存保留
}

2. 内存超分配

可以配置任务无内存上限：

resources {
  memory     = 128
  memory_max = -1  # 无内存限制
}

3. Cgroups 集成

在 Linux 系统上，可以手动指定 cgroups：

config {
  cgroup_v1_override = {
    "cpu"    = "/custom/cgroup/path"
    "memory" = "/custom/memory/path"
  }
}

客户端配置

要使用 raw_exec 驱动，必须在 Nomad 客户端配置中显式启用：

plugin "raw_exec" {
  config {
    enabled = true
    
    # 可选安全限制
    denied_host_uids = "0,10-15"  # 禁止特定 UID
    denied_host_gids = "2,4-8"    # 禁止特定 GID
    denied_envvars   = ["AWS_SECRET_*", "*_TOKEN"]  # 过滤敏感环境变量
  }
}

使用场景示例

场景1：执行本地二进制文件

task "monitoring" {
  driver = "raw_exec"
  
  config {
    command = "/usr/local/bin/custom-monitor"
    args    = ["-config", "monitor.conf"]
  }
}

场景2：运行下载的二进制文件

task "processor" {
  driver = "raw_exec"
  
  config {
    command = "downloaded-binary"
  }
  
  artifact {
    source = "http://internal/releases/processor-latest"
    options {
      checksum = "sha256:abc123..."
    }
  }
}