为何我的开发环境Minion可访问生产环境Pillar数据？

你所有pillar环境的top.sls都使用'*'匹配所有Minion，这就导致无论Minion属于哪个环境，只要top.sls的匹配规则命中，对应的pillar模块就会被加载。Salt默认会合并base环境和Minion自身所属环境的pillar，但如果其他环境的top.sls匹配到当前Minion，也会被一并加载。

修改各环境pillar的top.sls，仅匹配对应环境的Minion：

1. 保留base环境的top.sls（全局共享无需修改） #

/data/salt/pillar/base/top.sls：

'*':
  - baseapp

2. 修改dev环境的top.sls #

/data/salt/pillar/dev/top.sls：

'environment:dev':
  - devapp

3. 修改prod环境的top.sls #

/data/salt/pillar/prod/top.sls：

'environment:prod':
  - prodapp

4. 刷新Minion的pillar缓存 #

在Minion端执行：

salt-call saltutil.refresh_pillar

5. 验证结果 #

再次执行命令查看pillar数据：

salt-call pillar.items

此时dev环境的Minion应该只能看到baseapp和devapp的配置，prodapp的数据会被过滤掉。

• 匹配规则'environment:dev'通过Minion的environment grain精准匹配，确保只有对应环境的Minion才会加载该环境的pillar。
• 若需要更灵活的匹配逻辑（比如按Minion ID、其他grain属性），可以调整top.sls的匹配表达式，例如'dev*'匹配ID以dev开头的Minion，或组合多个条件实现复杂匹配。

内容的提问来源于stack exchange，提问作者Garincha