puppet集中配置管理系统

Posted 2020-08-08

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了puppet集中配置管理系统相关的知识，希望对你有一定的参考价值。

一、系统环境：rhel6.5 selinux and iptables disabled

物理主机：172.25.44.250

server：172.25.44.1 server1.example.com

client： 172.25.44.2 server2.example.com

client： 172.25.44.3 server3.example.com

注意：server和client之间要相互进行解析，时间同步，不然会验证失败。

二、安装配置以及证书获取：

安装的软件包：

server端：puppet-server-3.8.1-1.el6.noarch.rpm

puppet-3.8.1-1.el6.noarch.rpm

facter-2.4.4-1.el6.x86_64.rpm

hiera-1.3.4-1.el6.noarch.rpm

ruby-augeas-0.4.1-3.el6.x86_64.rpm

ruby-shadow-2.2.0-2.el6.x86_64.rpm

rubygem-json-1.5.5-3.el6.x86_64.rpm

rubygems-1.3.7-5.el6.noarch.rpm

client端： puppet-3.8.1-1.el6.noarch.rpm

hiera-1.3.4-1.el6.noarch.rpm

facter-2.4.4-1.el6.x86_64.rpm

rubygem-json-1.5.5-3.el6.x86_64.rpm

ruby-shadow-2.2.0-2.el6.x86_64.rpm

rubygems-1.3.7-5.el6.noarch.rpm

ruby-augeas-0.4.1-3.el6.x86_64.rpm

server端安装完启动服务：/etc/init.d/puppetmaster start

clientd端先不要开启服务。

获取证书：两种方法

/etc/puppet/配置目录：

组织结构如下：

puppet的第一个执行代码是在/etc/puppet/manifests/site.pp，因此这个文件必须存在，而其他的代码也要通过这个文件来调用。没有此文件puppet master无法启动，配置后面再定义。

第一种方法：server端手动生成签名

client先向服务端发送请求

server端进行手动签证

client端再次获取证书

第二种方法：server自动生成签名

修改server端的配置文件：

vim /etc/puppet/puppet.conf

第二行： autosign = true

vim /etc/puppet/autosign.conf

*.example.com

/etc/init.d/puppetmaster reload 修改配置文件后重启服务

将server原有的签名删除

client端删掉原有证书的记录，再重新获取

rm -fr /var/lib/puppet/ssl/*

puppet agent --server server1.example.com --no-daemonize -vt

在实际中有时会修改client端的主机名，这样就需要重新生成证书。

三、puppet资源定义：

以下资源均定义在/etc/puppet/manifest/site.pp 文件中，在没有指定节点的情况下，对所有已经经过验证的 client 都生效。

1.创建文件：

server端：

vim /etc/puppet/site.pp

file {

"/tmp/li":

content => "www.xiaoze.org"

}

client端：

puppet agent --server server1.example.com --no-daemonize -vt

查看文件

当改变资源内容时，Hash码也会发生变化

server端：

passwd存储在/etc/puppet/files/目录下（自己创建）

vim /etc/puppet/fileserver.conf

[files]

path /etc/puppet/files

allow *

/etc/init.d/puppetmaster reload 重启服务

vim /etc/puppet/manifests/site.pp

file {

"/tmp/li":

source => "puppet:///files/passwd"

}

client端：

puppet agent --server server1.example.com --no-daemonize -vt

文件内容改变，Hash值也就跟着改变了

2.软件包定义：

server端：

vim /etc/puppet/manifests/site.pp

package {

"httpd":

ensure => present; 安装，卸载式absent

"vsftpd":

ensure => present

}

client端：

puppet agent --server server1.example.com --no-daemonize -vt

3.服务定义：

server端：

vim /etc/puppet/manifests/site.pp

service {

"httpd":

ensure => running; 开启服务

"vsftpd":

ensure => stopped 关闭服务

}

client端：

puppet agent --server server1.example.com --no-daemonize -vt

ps ax 可以查看所运行的进程

4.用户定义：

server端：

vim /etc/puppet/manifests/site.pp

user {

"lzk":

uid => 600,

home => "/home/lzk",

shell => "/bin/bash",

provider => useradd,

ensure => present,

password => westos

}

client端：

puppet agent --server server1.example.com --no-daemonize -vt

因为新建的用户"lzk"，它的密码是明文的，这显然不符合安全的标准，如图：

需要利用配置文件进行改进，解决这个明文密码所带来的不安全性。

server端：

vim /etc/puppet/manifests/site.pp

在上面配置文件后面加上

exac {

"change passwd":

command => "echo redhat | passwd --stdin lzk",

path => "/bin:/usr/bin:/sbin:/usr/sbin",

onlyif => "id lzk"

}

client端：

puppet agent --server server1.example.com --no-daemonize -vt

可以看到明文密码变成hash加密过后的乱码，提高安全性

5.文件系统挂载：

server端：

vim /etc/puppet/manifests/site.pp

package {

"nfs-utils": 共享nfs文件系统需要安装

ensure => present

}

file {

"/public" :

ensure => directory

}

mount {

"/public":

device => "172.25.44.250:/mnt",

fstype => "nfs",

options => "defaults",

ensure => "mounted"

}

在物理主机上：

yum install -y vsftpd nfs-utils

vim /etc/exports

/mnt *(insecure,rw,async,no_root_squash)

exportfs -rv

如果端口号大于1024，则需要将 insecure 选项加入到配置文件（/etc/exports）相关选项中mount客户端才能正常工作。secure 选项要求mount客户端请求源端口小于1024（然而在使用 NAT 网络地址转换时端口一般总是大于1024的），默认情况下是开启这个选项的，如果要禁止这个选项，则使用 insecure 标识。

client端：

puppet agent --server server1.example.com --no-daemonize -vt

6.crontab任务

server端：

vim /etc/puppet/manifests/site.pp

cron {

echo:

command => "/bin/echo `/bin/date` >> /tmp/echo",

user => root,

hour => [‘2-4‘],

minute => ‘*/10‘

}

cilent端：

puppet agent --server server1.example.com --no-daemonize -vt

cd /var/spool/cron 任务生成在该目录下

四、编写模块

下面编写httpd模块：

server端：

cd /etc/puppet/manifests

mkdir node

vim /etc/puppet/manifests/site.pp

import ‘node/*.pp‘

cd node

vim server3.pp

node ‘server3.example.com‘

{

include httpd

}

mkdir /etc/puppet/modules/httpd/manifests -p

定义config.pp service.pp install.pp init.pp 这几个模块文件

vim insatll.pp

vim service.pp

vim config.pp

vim init.pp

mkdir /etc/puppet/modules/httpd/files -p

cp /etc/httpd/conf/httpd.conf /etc/puppet/modules/httpd/files/ 将配置文件放到模块定义的files目录中，不然执行会报错

client端：

puppet agent --server server1.example.com --no-daemonize -vt

注意：若出现如下报错，则是资源中文件的权限不够，最少为644

五、编写nginx模块：

server端：

mkdir -p /etc/puppet/modules/nginx/manifests

mkdir -p /etc/puppet/modules/nginx/files

vim /etc/puppet/manifests/site.pp

import ‘node/*.pp‘

mkdir /etc/puppet/manifests/node

vim /etc/puppet/manifests/node/server3.pp

node ‘server3.example.com‘ {

include nginx

}

vim nginx.conf

vim nginx.sh

vim install.pp

vim service.pp

vim config.pp

vim init.pp

cilent端：

puppet agent --server server1.example.com --no-daemonize -vt

六、模板应用（添加虚拟主机）

文件放在templates目录中，以*.erb结尾

1. vim /etc/puppet/modules/httpd/manifests/init.pp

2. vim /etc/puppet/modules/httpd/templates/httpd_vhost.erb

3. vim /etc/puppet/manifests/node/server3.pp

4.修改配置文件 vim /etc/puppet/modules/httpd/files/httpd.conf

NameVirtualHost *:80

5.测试（记得添加虚拟主机的解析）

client端：

puppet agent --server server1.example.com --no-daemonize -vt

进行测试：

七、以Web的方式管理puppet

1.安装软件:

server端：

puppet-dashboard-1.2.23-1.el6.noarch.rpm

ruby-mysql-2.8.2-1.el6.x86_64.rpm

rubygem-rake-0.8.7-2.1.el6.noarch.rpm

2.创建数据库：

mysql> CREATE DATABASE dashboard_production CHARACTER SET utf8;

mysql> CREATE USER ‘dashboard‘@‘localhost‘ IDENTIFIED BY ‘westos‘;

mysql> GRANT ALL PRIVILEGES ON dashboard_production.* TO ‘dashboard‘@‘localhost‘;

3.修改配置服务：

vim /usr/share/puppet-dashboard/config/database.yml

—只留下生产环境配置—

production:
    database: dashboard_production
    username: dashboard
    password: westos
    encoding: utf8
    adapter: mysq

rake RAILS_ENV=production db:migrate #建立 dashboard 所需的数据库和表

puppet-dashboard 默认时区不正确,需要修改:
# vi /usr/share/puppet-dashboard/config/settings.yml
time_zone: ‘Beijing‘

启动服务:
# service puppet-dashboard start
Starting Puppet Dashboard: => Booting WEBrick
=> Rails 2.3.14 application starting on http://0.0.0.0:3000
[ OK ]
# chmod 0666 /usr/share/puppet-dashboard/log/production.log
# service puppet-dashboard-workers start
实时报告汇总:
设置 server 端:
# vi /etc/puppet/puppet.conf
[main]
#添加以下两项
reports = http
reporturl = http://172.25.44.1:3000/reports
# service puppetmaster reload
设置 client 端:
# vi /etc/puppet/puppet.conf
[agent]
report = true
#添加以下行
# service puppet reload
在客户端安装完 puppet 后,并且认证完后,我们可以看到效果,那怎样让它自动与服务器同步
呢?默认多少分钟跟服务器同步呢?怎样修改同步的时间呢,这时候我们需要配置客户端:
(1) 配置 puppet 相关参数和同步时间:
# vi /etc/sysconfig/puppet
PUPPET_SERVER=server1.example.com #puppet master 的地址
PUPPET_PORT=8140
#puppet 监听端口
PUPPET_LOG=/var/log/puppet/puppet.log #puppet 本地日志
#PUPPET_EXTRA_OPTS=--waitforcert=500 【默认同步的时间,我这里不修改这行参数】
(2) 默认配置完毕后,客户端会半个小时跟服务器同步一次,我们可以修改这个时间。# vi /etc/puppet/puppet.conf
[agent]
runinterval = 60
#代表 60 秒跟服务器同步一次
# service puppet reload