Consul策略是否支持为节点或服务配置通配符权限规则

1. Consul ACL策略中node "xxx"属于精确匹配规则，不支持通配符匹配，你填写的*会被识别为普通字符串，无法匹配到vault-0、vault-1这类实际节点，导致节点写入权限未正常放行，才会出现坐标更新被ACL拦截的报错。
2. 只有带_prefix后缀的规则才支持前缀匹配，你当前配置的node_prefix "" { policy = "read" }仅给所有节点开放了读权限，符合前缀要求的节点写权限没有生效。

将精确匹配的node规则替换为node_prefix前缀匹配规则即可，无需额外加通配符，调整后的完整策略如下：

agent_prefix "" {
  policy = "write"
}
# 匹配所有以vault-为前缀的节点，授予写权限
node_prefix "vault-" {
  policy = "write"
}
# 其余节点仅开放读权限
node_prefix "" {
  policy = "read"
}
service_prefix "" {
  policy = "read"
}
session_prefix "" {
  policy = "read"
}

• 策略更新后绑定到Vault关联的Consul Agent Token上，等待ACL规则集群同步完成，重启Consul Agent即可验证权限是否正常。
• 其他服务的独立Agent权限可按照相同逻辑配置，比如给MySQL服务的Agent配置node_prefix "mysql-" { policy = "write" }，即可实现不同服务的Agent节点注册权限隔离。

内容的提问来源于stack exchange，提问作者Vinay Taneja