仅服务端开启ACL的Nomad集群，客户端是否必须启用ACL配置

核心结论 #

仅在所有服务端节点开启acl.enabled = true即可实现集群层面的基础ACL管控，是否需要为所有客户端节点同步开启ACL不存在强制性的全局要求，完全取决于集群的网络隔离架构。

实测现象与文档描述的差异说明 #

两者不存在矛盾，核心差异来自ACL校验的执行主体：

• 常规的Nomad CLI、业务类API请求最终都会路由到服务端节点完成权限校验，只要服务端统一开启了ACL，这类请求的权限拦截逻辑就会正常生效，和客户端节点的ACL配置没有关联。你测试时遇到的CLI调用返回403权限拒绝的结果，就是服务端侧校验生效的表现。
• 官方文档中要求客户端节点开启ACL的场景，针对的是客户端本地端点的管控：也就是直接访问客户端节点本地运行的Nomad agent API端口的操作，这类请求不会经过服务端转发，完全由客户端进程本身完成权限判断。

若要对客户端端点实施强制管控，你同样需要在客户端节点上启用ACL。操作方式为将acl stanza中enabled参数的值设为true，配置完成后重启客户端以加载新配置。

配置决策判断标准 #

可以根据实际的集群安全要求选择操作方案：

• 如果所有客户端节点的本地API端口都对非授信流量做了严格隔离，不存在任何可以绕过服务端、直接访问客户端本地agent接口的路径，就不需要为客户端节点逐个开启ACL，能够大幅节省大规模集群的配置更新运维成本。
• 如果客户端节点的本地API可以被非授信来源访问（比如运维人员可直接登录客户端节点调用本地接口、客户端API端口未做网络访问限制），那就必须为所有客户端节点开启acl.enabled = true，否则会存在ACL权限被绕过的安全风险。

内容的提问来源于stack exchange，提问作者Francis