如何从Nomad变量向Traefik注入Nomad Token（ACL集群场景）

方案1：直接通过环境变量注入（简单快捷） #

你可以在Traefik任务中添加env块，从Nomad变量中读取Token值，然后在Docker的args中引用这个环境变量。这种方式无需额外模板，适合简单场景。

修改后的完整作业配置：

job "traefik" {
  group "traefik" {
    service {
      name = "traefik"
      provider = "nomad"
    }

    task "traefik" {
      driver = "docker"

      # 新增：从Nomad变量注入环境变量
      env {
        NOMAD_TOKEN = "${nomadVar("nomad/jobs/traefik", "NOMAD_TOKEN")}"
      }

      config {
        image = "traefik:v2.10.7"
        network_mode = "host"
        args = [
          "--api.dashboard=true",
          "--api.insecure=true",
          "--entrypoints.web.address=:${NOMAD_PORT_http}",
          "--entrypoints.traefik.address=:${NOMAD_PORT_admin}",
          "--providers.nomad=true",
          "--providers.nomad.exposedByDefault=false",
          "--providers.nomad.endpoint.address=http://10.0.0.3:4646/",
          # 替换为环境变量引用
          "--providers.nomad.endpoint.token=${NOMAD_TOKEN}"
        ]
      }
    }
  }
}

方案2：使用Template生成Traefik配置文件（更优推荐） #

如果后续Traefik配置会更复杂，建议用Nomad的template块生成Traefik的动态配置文件，避免在命令行参数中暴露敏感信息，同时配置结构更清晰。

修改后的作业配置：

job "traefik" {
  group "traefik" {
    service {
      name = "traefik"
      provider = "nomad"
    }

    task "traefik" {
      driver = "docker"

      config {
        image = "traefik:v2.10.7"
        network_mode = "host"
        args = [
          "--api.dashboard=true",
          "--api.insecure=true",
          "--entrypoints.web.address=:${NOMAD_PORT_http}",
          "--entrypoints.traefik.address=:${NOMAD_PORT_admin}",
          # 指定从配置文件加载Nomad provider配置
          "--providers.file.directory=/local/config",
          "--providers.file.watch=true"
        ]
        # 挂载Nomad的local目录到容器内，用于存放模板生成的配置文件
        mounts = [
          {
            type     = "bind"
            source   = "local/config"
            target   = "/local/config"
            readonly = false
          }
        ]
      }

      # 新增：生成Traefik的Nomad provider配置文件
      template {
        data = <<EOF
[providers.nomad]
  exposedByDefault = false
  [providers.nomad.endpoint]
    address = "http://10.0.0.3:4646/"
    token = "{{ nomadVar "nomad/jobs/traefik" "NOMAD_TOKEN" }}"
EOF
        destination = "local/config/nomad-provider.toml"
        change_mode = "restart"
      }
    }
  }
}

注意事项 #

• 确保Traefik任务所在的Nomad客户端节点有权限读取nomad/jobs/traefik路径下的变量，需配置对应ACL策略允许变量读取。
• 方案2中，当变量值更新时，change_mode = "restart"会自动重启Traefik任务，确保配置生效。

内容的提问来源于stack exchange，提问作者Chris White