Consul只读ACL配置异常：Datadog监控仍报403错误如何解决？

你的只读策略缺少了Datadog收集Consul监控数据所需的几个核心API权限，以下是需要补充的规则及说明：

缺失的权限规则 #

• Catalog读取权限：Datadog需要访问/v1/catalog/*端点获取全集群的节点、服务目录信息，这是监控集群拓扑的基础
• Health读取权限：获取服务与节点的健康检查状态需要访问/v1/health/*端点，这是监控可用性的关键
• Status读取权限：获取集群leader信息、Raft状态等集群层面的指标需要访问/v1/status/*端点
• Query读取权限（可选）：如果你的Consul使用了Prepared Queries，Datadog可能会访问相关端点，建议添加

完整的只读策略示例 #

agent "" {
  policy = "read"
}
key_prefix "" {
  policy = "read"
}
node_prefix "" {
  policy = "read"
}
service_prefix "" {
  policy = "read"
}
# 新增的必要权限
catalog_prefix "" {
  policy = "read"
}
health_prefix "" {
  policy = "read"
}
status_prefix "" {
  policy = "read"
}
# 可选：若使用Prepared Queries则添加
query_prefix "" {
  policy = "read"
}

验证方法 #

更新策略并重新生成令牌后，可手动测试关键端点的访问权限，比如：

curl -H "X-Consul-Token: YOUR_READONLY_TOKEN" http://localhost:8500/v1/catalog/nodes
curl -H "X-Consul-Token: YOUR_READONLY_TOKEN" http://localhost:8500/v1/health/services

如果这些请求返回正常数据，说明权限配置正确，Datadog Agent应该就能正常收集监控数据了。

内容的提问来源于stack exchange，提问作者fury