Saltstack如何确保主节点发往从节点的消息不被其他从节点读取？

首先纠正一个常见误解：Saltstack默认不依赖ActiveMQ，它的主从通信基于ZeroMQ（传统架构）或TLS加密TCP连接（新版Salt），并非通过共享消息队列实现广播式消息分发。这是保证消息隔离的基础，下面详细说明核心机制及实操方案：

核心安全机制：确保Minion只能读取自身的命令 #

1. 双向认证与专属加密通道 #

• 每个Minion在首次连接Master时，会生成独有的RSA密钥对，将公钥发送给Master请求认证。Master通过后会签署该公钥，建立唯一的信任关系。
• 主从之间的所有通信都通过TLS加密的专属点对点通道进行，每个Minion仅与Master建立独立连接，不存在所有Minion共享的公共消息池。

2. 定向消息路由 #

• 当Master需要给Minion1发送命令时，会直接通过Minion1的专属加密通道推送，而非广播给所有节点。Master会维护已认证Minion的连接列表，精准路由消息到目标节点。
• 每个通道的加密密钥基于Minion的私钥协商生成，被攻陷的Minion2无法获取Minion1的私钥，因此即使监听网络，也无法解密Master发给Minion1的通信内容。

若使用第三方消息中间件（如ActiveMQ）的隔离方案 #

如果你的环境确实配置了ActiveMQ作为Salt的消息传输层（非默认场景），可通过以下方式实现队列隔离：

• 为每个Minion创建专属消息队列：Master仅将发给Minion1的消息投递到queue-minion1，Minion2仅订阅queue-minion2。
• 配置队列权限控制：利用ActiveMQ的JAAS认证体系，给每个Minion分配仅能访问自身队列的权限，即使Minion2被攻陷，也无权限读取Minion1的队列内容。

实操验证（默认Salt架构） #

以你的三台服务器为例：

1. Minion1和Minion2分别向Master完成密钥认证，各自建立独立的TLS加密连接。
2. 执行命令salt 'minion1' cmd.run 'echo "secret command for minion1"'：
   • Master通过Minion1的专属通道发送加密后的命令内容。
   • Minion2的连接中不会收到该命令，即使被攻陷，也无法解密或获取不属于自己的消息。

额外加固建议 #

• 启用Minion白名单：在Master的/etc/salt/master中配置minion_whitelist，仅允许已认证的Minion接入。
• 定期轮换密钥：若怀疑Minion被攻陷，立即在Master上执行salt-key -d minion2吊销其公钥，要求Minion重新生成密钥对并认证。
• 加密存储密钥：确保Master存储的Minion公钥及自身密钥文件权限严格（如chmod 600），避免泄露。

内容的提问来源于stack exchange，提问作者Qipeng Song