Docker部署Nacos如何配置初始账号密码？

Question

在使用Docker部署Nacos时，如何安全地配置初始账号密码？默认情况下，Nacos的初始用户名和密码均为`nacos`，但直接使用存在安全风险。通过Docker运行时，若未正确设置`NACOS_AUTH_ENABLE=true`及自定义用户凭证（如`NACOS_AUTH_TOKEN`或数据库用户表初始化），可能导致认证不生效或服务无法启动。常见问题包括：环境变量未正确传递、挂载的配置文件权限不足、或使用外置数据库时未同步初始化用户数据。如何在Docker或Docker Compose中正确配置环境变量与持久化存储，实现首次启动即启用自定义账号密码，是部署过程中的关键难点。

Answer 1

1. Nacos 安全认证机制概述

Nacos 作为主流的服务注册与配置中心，其默认的用户名和密码均为 nacos，这在生产环境中极易成为攻击入口。为提升安全性，Nacos 提供了基于 Token 和用户凭证的身份认证机制。核心控制开关是环境变量 NACOS_AUTH_ENABLE=true，启用后系统将强制进行身份验证。

在 Docker 部署场景下，若未正确配置该参数或未初始化用户数据，可能导致：

• 认证功能未生效，仍可匿名访问敏感接口
• 服务启动失败，提示数据库连接或用户表缺失
• 自定义账号无法登录，提示“用户不存在”

2. Docker 环境下的基础部署结构

使用 Docker 部署 Nacos 时，推荐采用以下目录结构以支持配置持久化与安全初始化：

nacos-docker/
├── docker-compose.yml
├── init.d/
│   └── custom-user.sql
├── logs/
├── data/
└── conf/
    └── application.properties

其中：

• init.d/：用于存放数据库初始化脚本（如外置 MySQL）
• conf/：挂载自定义配置文件，覆盖容器内默认设置
• data/ 和 logs/：实现数据与日志持久化

3. 关键环境变量详解

环境变量	作用说明	建议值
NACOS_AUTH_ENABLE	启用身份认证	true
NACOS_AUTH_TOKEN	JWT Token 加密密钥，至少32位	随机生成的64位字符串
NACOS_USER	初始管理员用户名（部分版本支持）	admin-prod
NACOS_PASSWORD	初始管理员密码	强密码策略（大小写+数字+符号）
MODE	运行模式：standalone 或 cluster	standalone（单机测试）
MYSQL_SERVICE_DB_NAME	外置数据库名	nacos_config

4. 使用 Docker Compose 实现安全初始化

以下是一个完整的 docker-compose.yml 示例，包含认证启用、外置数据库连接与持久化配置：

version: '3.8'
services:
  nacos:
    image: nacos/nacos-server:v2.4.1
    container_name: nacos-secure
    environment:
      - MODE=standalone
      - NACOS_AUTH_ENABLE=true
      - NACOS_AUTH_TOKEN=5d8a7b9c0e1f2g3h4i5j6k7l8m9n0o1p2q3r4s5t6u7v8w9x0y1z2A3B4C5D6E7F
      - SPRING_DATASOURCE_PLATFORM=mysql
      - MYSQL_SERVICE_HOST=192.168.10.100
      - MYSQL_SERVICE_PORT=3306
      - MYSQL_SERVICE_USER=nacos
      - MYSQL_SERVICE_PASSWORD=SecurePass!2025
      - MYSQL_SERVICE_DB_NAME=nacos_config
      - JVM_XMS=1g
      - JVM_XMX=1g
    volumes:
      - ./logs:/home/nacos/logs
      - ./data:/home/nacos/data
      - ./conf/application.properties:/home/nacos/conf/application.properties
      - ./init.d:/home/nacos/init.d
    ports:
      - "8848:8848"
    restart: unless-stopped
    networks:
      - nacos-net

networks:
  nacos-net:
    driver: bridge

5. 外置数据库用户初始化流程

当使用外部 MySQL 数据库时，必须确保 users 表中存在自定义管理员账户。可通过 SQL 脚本自动注入：

-- 文件路径：./init.d/custom-user.sql
INSERT INTO users (username, password, enabled) 
VALUES ('admin-prod', '$2a$10$IPOuaTGlRURUzE/.L8Yz.eDqZK4XJqP9Z0QvO4V7G1H2W3J4K5L6M', TRUE);

INSERT INTO roles (username, role) 
VALUES ('admin-prod', 'ROLE_ADMIN');

Nacos 启动时会自动执行 /home/nacos/init.d 目录下的 SQL 脚本，前提是数据库已初始化 Nacos 所需表结构（可通过官方 nacos-mysql.sql 初始化）。

6. 认证启用后的安全增强建议

1. 禁用默认 nacos/nacos 账户，首次登录后立即修改密码
2. 定期轮换 NACOS_AUTH_TOKEN 并通知所有客户端同步更新
3. 结合 LDAP 或 OAuth2 进行统一身份管理（企业级场景）
4. 开启审计日志，记录关键操作行为
5. 限制 Nacos 控制台访问 IP 范围（通过反向代理如 Nginx）
6. 使用 TLS 加密通信，避免明文传输凭证
7. 对敏感配置项启用加密存储插件
8. 部署 WAF 防护常见 Web 攻击（如 SQL 注入、XSS）

7. 常见问题排查流程图

graph TD A[服务启动失败或认证无效] --> B{是否启用 NACOS_AUTH_ENABLE=true?} B -- 否 --> C[添加环境变量并重启] B -- 是 --> D{是否使用外置数据库？} D -- 否 --> E[检查 embedded 存储权限与初始化] D -- 是 --> F[确认数据库表结构是否完整] F --> G[检查 users 表是否存在自定义用户] G --> H[验证密码加密方式是否为 BCrypt] H --> I[检查 NACOS_AUTH_TOKEN 是否一致] I --> J[确认挂载配置文件未被覆盖] J --> K[查看日志 /logs/auth.log 是否报错]

8. 挂载配置文件的权限与覆盖问题

在 Linux 系统中运行 Docker 时，常因权限不足导致挂载失败。建议执行：

chmod -R 755 ./conf ./data ./logs
chown -R 2000:2000 ./data ./logs  # Nacos 容器内使用 UID 2000

同时，在 application.properties 中可显式指定安全参数：

nacos.core.auth.enabled=true
nacos.core.auth.system.type=nacos
nacos.core.auth.server.identity.key=SECURE_SERVER_KEY
nacos.core.auth.server.identity.value=UNIQUE_VALUE
nacos.core.auth.plugin.nacos.token.secret.key=Base64编码的密钥