HashiCorp Nomad 工作负载身份机制深度解析-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00678/article/details/148377545

HashiCorp Nomad 工作负载身份机制深度解析

nomad hashicorp/nomad: Nomad 是 HashiCorp 公司开发的一款易于部署和管理的调度器，它支持跨数据中心进行容器、虚拟机和任务进程等工作负载的自动化部署与管理。项目地址: https://gitcode.com/gh_mirrors/no/nomad

什么是工作负载身份

在分布式调度系统HashiCorp Nomad中，工作负载身份(Workload Identity)是一项核心安全特性，它为集群中运行的每个工作负载提供唯一身份标识。这种机制类似于现实世界中的身份证，让系统能够精确识别和管理每个任务实例。

身份标识的核心组成

Nomad为每个分配(Allocation)中的任务生成基于JWT(JSON Web Token)的身份凭证，这些凭证由集群领导节点签名，包含以下关键信息：

命名空间标识：nomad_namespace字段标明任务所属的Nomad命名空间
作业标识：nomad_job_id字段记录父作业的唯一ID
分配标识：nomad_allocation_id字段表示具体分配实例
任务/服务标识：对于普通任务使用nomad_task字段，对于Consul服务则使用nomad_service字段

身份凭证的典型应用场景

1. 基础任务身份验证

{
  "nomad_namespace": "production",
  "nomad_job_id": "web-service",
  "nomad_allocation_id": "a1b2c3d4-e5f6-7890",
  "nomad_task": "frontend"
}

2. 与Vault集成时的扩展凭证

当任务配置了Vault角色时，凭证会额外包含vault_role字段：

{
  "nomad_namespace": "default",
  "nomad_job_id": "db-service",
  "nomad_allocation_id": "x9y8z7w6-v5u4-3210",
  "nomad_task": "redis",
  "vault_role": "database-access"
}

3. 企业版特有功能

Nomad企业版还支持Consul和Vault的命名空间隔离，会在凭证中添加相应字段：

{
  "consul_namespace": "east-region",
  "vault_namespace": "finance",
  // 其他标准字段...
}

如何配置工作负载身份

在任务定义中，可以通过identity块灵活配置身份凭证的暴露方式：

task "api-server" {
  identity {
    env = true    # 通过环境变量NOMAD_TOKEN暴露
    file = true   # 通过文件${NOMAD_SECRETS_DIR}/nomad_token暴露
  }
}

访问控制策略体系

默认策略

所有工作负载身份自动获得以下权限：

访问所属作业、任务组的Nomad变量
查询Nomad服务注册信息

自定义策略配置

通过nomad acl policy apply命令可以精细控制策略应用范围：

# 应用到特定任务
nomad acl policy apply -job web -group frontend -task nginx web-policy policy.hcl

# 应用到整个作业
nomad acl policy apply -job web web-policy policy.hcl

# 应用到整个命名空间
nomad acl policy apply -namespace prod prod-policy policy.hcl