Puppet Manager

Posted 2022-08-04 guowei-linux

 

         在master模式下，我们给每个agent应用的manifest可能不止一个，所以在master端需要根据agent的主机名来建立一个站点清单（也可能是多个站点清单），将某个agent要应用的所有manifest都填入这个清单中，然后直接应用这个清单即可；

 

                  agent：默认每隔三十分钟向master发送node name和facts，并请求catalog；

                   master：验证客户端身份，查找与其相关的site manifest，编译生成catalog，并发送给客户端；

                   软件安装：直接使用yum安装即可

                            在master端需要安装puppet和puppet-server；也可以安装facter，用来管理自己；

                                     puppetmaster监听在TCP的8140端口；

                            在agent端需要安装puppet和facter；

                                     puppetagent监听在TCP的8139端口；

                   配置文件：

                            /etc/puppet/puppet.conf

                                     此配置文件类似于ini格式：

                                               main段：适用于master和agent，为全局配置；

                                               agent段：适用于agent，仅在agent上生效；

                                               master段：适用于master，仅在master上生效；

                                     且此文件支持类似变量的功能，可以通过puppet config print查看支持的所有变量（也是默认配置），且可以使用”puppet config set [setting_name] [setting_value]”修改这些变量的值；

                            可以通过puppet master|agent --genconfig来生成符合此环境（需要基于默认的配置文件，所以咋生成这些信息之前不可以移动原来的配置文件）的配置信息（默认是发送到显示器上的，如果想要使用，则需要将其重定向到配置文件中，但是生成的信息中有的参数可能已经废弃，与现在的puppet版本可能不兼容）；

                            关于配置文件的更详细的信息可以通过puppet doc命令查看；

                                     puppet doc --list ：可以查看文档包含的reference；

                                     puppet doc -r ：可以查看上面命令输出的某种reference的详细信息；

                                               示例：puppet doc -r type

                            Note：因为puppet master与agent的通信与hostname有关，所以一定要设置合适的主机名，建议master端使用FQDN（比如hello.guowei.com）格式的主机名，否则签证的时候可能会有错误，它会在你的主机名后加上.localdomain

                   启动服务：

                            master：第一次启动puppet master端服务时，建议使用puppet master –v --no-daemonize来查看启动是否正常（可以通过此命令的输出来了解服务启动流程，包括CA建立、字签证书、证书存放路径等），之后再通过脚本或者systemctl来启动服务；

                            agent：第一次启动puppet agent端服务时，建议使用puppet agent--server=SERVER_NAME --test来测试一下是否可以正常工作；然后再通过puppet agen --server SERVER_NAME向master端发送签证请求；这些都测试完毕以后，最后要编辑/etc/puppet/puppet.conf在[agent]或[main]中指定一下server地址，接着启动puppetagent服务（systemctl start puppetagent.service），以后agent就可以自动回去配置信息了；

                                     示例：

                                               ~]# cat /etc/puppet/puppet.conf

                                                        [agent]

                                                        listen = true

                                                        server = node1.guowei.com

                   签署证书：

                            1.puppet master –v --no-daemonize     --->  master端

                            2.停止上面运行的命令Ctrl+c

                            3.systemctl start puppetmaster.service   --->  master端

                                     启动puppetmaster服务，监听在8140端口

                            4. puppet agen --server SERVER_NAME   --->  agent端

                                     agent向master发起证书签署请求

                            5. puppet cert --list                   --->  master端

                                     master端查看要求证书签署的agent

                            6.puppet cert sign AGENT_HOSTNAME   --->  master端

                                     签署agent；

                            7.agent与master建立连接完毕；

                            撤销证书，重新签署：

                                     1. puppet cert clean AGENT_HOSTNAME    --->  master端

                                     2. rm -rf /var/lib/puppet/ssl/*             --->  agent端

                                               如果出现错误，重新签署一直没有成功就直接rm -rf /var/lib/puppet/*（根据情况而定，最坏的是master和agent都要执行这个命令），然后重启master，重新签署；

                                     3. puppet agent --server= SERVER_NAME --no-daemonize -v     --->  agent端

                                     4. puppet cert sign AGENT_HOSTNAME     --->  master端

                   安装所有要用到的模块：

                            puppet module install

                            自己制作

                   定义site manifest：

                            站点清单一般位于/etc/puppet/manifests/路径下，且要命名为site.pp；

                                     site.pp定义节点的方式：

                                               1.以主机名直接给出其相关定义：

                                                        node ‘NODE_ANME‘

                                                                 … puppet code …

                                                       

                                               2.把功能相近的主机事先按统一格式命名，按统一格式调用：

                                                        node /^web[0-9]+\.guowei\.com/

                                                                  … puppet code …

                                                       

                                     示例：基于上一篇文章中的示例（最后一个示例）

                                               ~]#cat /etc/puppet/manifests/site.pp

                                                        node ‘node2.guwoei.com‘

                                                                 include nginx::proxy

                                                       

                                               ~]#puppet agent --server=node1.guowei.com --no-daemonize -v

                            节点的继承：

                                     node ‘basenode‘

                                               include ntp

                                    

                                     node ‘web.guowei.com‘ inherits basenode

                                               include ngnx::proxy

                                    

                            对节点进行分段管理：

                                     在/etc/puppet/manifests/目录中根据情况创建多个子目录，然后在这些子目录中创建符合情况的.pp文件，最后在site.pp文件中引入这个.pp文件即可；

                                     示例：

                                               ~]# tree /etc/puppet/manifests/

                                                        /etc/puppet/manifests/

                                                        ├── appservers

                                                        │   └── tomcat.pp

                                                        ├── cacheservers

                                                        │   └── varnish.pp

                                                        ├── site.pp

                                                        └── webservers

                                                            └── nginx.pp

                                               ~]#cat /etc/puppet/manifests/site.pp

                                                        import "webservers/*.pp"

                            建议的主机命名方式：

                                     角色-运营商-机房名-IP.DOMAIN.TLD

                   puppet的配置文件中的环境配置段：

                            环境配置端可以实现将不同的场景（比如生产环境、测试环境、开发环境）中的主机分别对待，为其制定特有的manifest路径，从而实现为其发送不同的配置信息，以适应其所处的环境；

                            示例：

                                     master端的环境配置段：

                                              vim /etc/puppet/puppet.conf

                                                        ……..

                                                        [master]

                                                        environment = production,testing

                                                                 声明master支持的环境配置段；

                                                       [production]

                                                       manifest = /etc/puppet/enviroments/production/manifests/site.pp

                                                        modulepath = /etc/puppet/enviroments/production/modules/

                                                       fileserverconfig = /etc/puppet/fileserver.conf

                                                                 指定master端提供的文件服务器的配置文件；

                                                       [testing]

                                                       manifest = /etc/puppet/enviroments/testing/manifests/site.pp

                                                       modulepath = /etc/puppet/enviroments/testing/modules/

                                                       fileserverconfig = /etc/puppet/fileserver.conf

                                                       …….

                                     agent端的对应配置：

                                              [agent]

                                               environment = production

                                                        根据自己所属的环境来指定，agent会自动发送此信息，以说明自己的身份，从而让master发送正确的配置信息给自己；

                   Puppet自带的文件服务器：

                            通过fileserver.conf文件且需要结合puppet.conf和auth.conf文件来定义文件服务器；auth.conf是用来实现对agent能否访问master的某个路径做安全管理的(即为puppet提供ACL功能)；

                            fileserver.conf格式：

                                     [mount_point]

                                     path /PATH/TO/SOMEWHERE

                                     allow HOSTNAME

                                     allow_ip IP_ADDR

                                     deny all

                            auth.conf格式：

                                     path /path_to_somewhere

                                     auth yes

                                     method find,save

                                     allow

                                     allow HOSTNAME

                                     allow_ip IP_ADDR

                   自动签署证书：autosign.conf：

                            让master在接收到agent的证书签署请求后，直接自动为其签署证书；

                            格式：

                                     直接指明主机名即可，支持通配符；

                                               *.guowei.com

         Puppet的自动推送：kick

                   可以实现将新添加的配置立即同步到agent端，使其马上生效；同步方法为：master通知agent到自己这里来请求新配置；

                   通过namespace.conf文件，指定哪些主机可以出发kick功能；

                            格式：

                                     [puppetrunner]

                                               allow HOSTNAME

 

                  

 

 

 

         使用Puppet面临的问题：

                   1.主机名：合理命名主机，且如果主机过多，一般建议使用DNS来提供IP地址解析；

                            DDNS：在主机获得地址以后，自动的将IP地址和主机名提交到DNS服务器，完成添加映射关系；

                   2.如何为系统准备好puppet agent；

                            可以在安装系统的时候直接将puppet集成到系统中，然后在通过kickstart文件，安装启动puppet；

                  

　　　　注：根据马哥视频做的学习笔记，如有错误，欢迎指正；侵删