Puppet部署与应用

Posted 2020-10-26

工作原理
Puppet的目的是让管理员只集中于要管理的目标，而忽略实现的细节。Puppet既可以在单机上使用，也可以c/s使用，在大规模使用puppet的情况下，通常使用c/s结构，在这种结构中puppet客户端只运行puppetclient，puppet服务器只运行puppetmaster。
.
.

工作流程
1）客户端puppet调用facter（facter是通过ssl加密收集及检测分析客户端配置信息的一个工具），facter探测出主机的一些变量，如主机名，内存大小，ip地址等。Puppet把这些信息通过ssl连接发送到服务器器端

2）服务器端的puppetmaster通过facter工具分析检测客户端的主机名，然后找到项目主配置文件mainfest里面对应的node配置，并对该部分内容进行解析。Facter发送过来的信息可以作为变量处理，node牵扯到的代码才解析，其他没牵涉的代码不解析，解析分为几个阶段，首先进行语法检查，如果语法没错，就继续解析，解析的结果生成一个中间的“伪代码”，然后把伪代码发送给客户端。
3）客户端接收到伪代码，并执行，客户端把执行的结果发送给服务器。
4）服务器把客户端的执行结果写入日志。
.
.

Puppet工作过程有以下两点值得注意：
1）为了保证安全，client和master之间是基于ssl和证书的，只有经master证书认证的client可以与master通信。
2）Puppet会让系统保持在人们所期望的某种状态并一直维持下去，例如：检测某个文件并保证其一直存在，保证ssh服务始终开启，如果文件被删除了或者ssh服务被关闭了，puppet下次执行时（默认30分钟），会重新创建该文件或者启动ssh服务。

.

.

安装puppet的实验步骤
搭建puppetmaster
搭建puppetclient
配置测试节点
客户端主动拉取
服务器推送
.

.
搭建puppetmaster
规划服务器主机名（小规模可以修改/etc/hosts文件，服务器多的时候我们需要搭建dns服务器来实现服务通过主机名进行通信，这里就以/etc/hosts文件来实现）
.
（puppetmaster）
.

[[email protected] /]# vim /etc/sysconfig/network
HOSTNAME=master.itzhushou.cn
.
[[email protected] /]# vim /etc/hosts
192.168.1.10    master.itzhushou.cn
192.168.1.20    client1.itzhushou.cn
192.168.1.30    client2.itzhushou.cn

.

重启生效
[[email protected] /]# reboot

.
（NTP）

[[email protected] /]# rpm -q ntp
[[email protected] /]#  vim /etc/ntp.conf (添加以下两行)
server 127.127.1.0
fudge  127.127.1.0 stratum 8
.
启动ntp服务并开启iptables例外
[[email protected] /]# service ntpd start
[[email protected] /]# chkconfig ntpd on
[[email protected] /]# iptables -I INPUT -p udp --dport 123 -j ACCEPT
[[email protected] /]# service iptables save
.

（puppetmaster）
.

[[email protected] /]# hostname
.
在puppetmaster上面配置时间同步，作为ntp的客户端
[[email protected] /]# ntpdate 192.168.1.40
[[email protected] /]# mount /dev/cdrom /media/
[[email protected] /]# cd /media/
[[email protected] /]# ls

.
安装ruby（puppet就是基于ruby语言开发的，所以需要安装ruby）

[[email protected] /]# yum -y install compat-readline5
[[email protected] /]# yum -y install ruby

.
安装完成之后检查版本

[[email protected] /]# ruby -v
[[email protected] /]#useradd -s /sbin/nologin puppet
[[email protected] /]# cd /

.
安装facter（通过facter工具分析检测客户端传来的信息）

[[email protected] /]# umount /dev/cdrom /media/
[[email protected] /]# umount /dev/cdrom
[[email protected] /]# mount /dev/cdrom /media/
[[email protected] /]# cd /media/
[[email protected] /]# ls
[[email protected] /]# tar zxf facter-1.7.1.tar.gz -C /usr/
[[email protected] /]# cd /usr/facter-1.7.1/
[[email protected] /]# ruby install.rb 

.
安装puppet
编译安装：

[[email protected] /]# cd /media/
[[email protected] /]# tar zxf puppet-2.7.21.tar.gz -C /usr/
[[email protected] /]# cd /usr/puppet-2.7.21/
[[email protected] /]# ruby install.rb 

.
复制配置文件

[[email protected] /]# cp conf/redhat/fileserver.conf /etc/puppet/
[[email protected] /]# cp conf/redhat/puppet.conf /etc/puppet/
[[email protected] /]# cp conf/redhat/server.init /etc/init.d/puppetmaster

.

修改文件属性并创建puppet主目录：

[[email protected] /]# chmod +x /etc/init.d/puppetmaster 
[[email protected] /]# mkdir /etc/puppet/manifets
[[email protected] /]# mkdir /etc/puppet/manifests
[[email protected] /]# mkdir /etc/puppet/modules

.
puppet服务证书请求与签名
关闭防火墙（也可开例外）

Service iptables  stop
[[email protected] /]# service iptables stop

.
在[main]标题下添加一行：配置服务器模块路径

[[email protected] /]# vim /etc/puppet/puppet.conf 
modulepath = /etc/puppet/modules:/usr/share/puppet/modules

.
启动puppet主程序

[[email protected] /]# service puppetmaster start
[[email protected] /]# netstat -anpt | grep ruby

.
配置防火墙

[[email protected] /]# iptables -I INPUT -p tcp --dport 8140 -j ACCEPT
[[email protected] /]# service iptables save

.
.
(puppetclient1)
.
搭建puppetclient
规划服务器主机名

[[email protected] /]# vim /etc/sysconfig/network 
HOSTNAME=client1.itzhushou.cn

.

[[email protected] /]# vim /etc/hosts
192.168.1.10    master.itzhushou.cn
192.168.1.20    client1.itzhushou.cn
192.168.1.30    client2.itzhushou.cn
.
[[email protected] /]# reboot

[[email protected] /]# hostname

.

服务器时间同步
[[email protected] /]# ntpdate 192.168.1.40

.
安装ruby

[[email protected] /]# mount /dev/cdrom /media/
[[email protected] /]# yum -y install compact-readline5 reby
或者rpm -ivh compact-readline5......

.
安装facter

[root[email protected] /]# cd /
[[email protected] /]# umount /dev/cdrom /media/
[[email protected] /]# mount /dev/cdrom /media
[[email protected] /]# cd /media/
[[email protected] /]# tar zxf facter-1.7.1.tar.gz -C /usr/
[[email protected] /]# cd /usr/facter-1.7.1/
[[email protected] /]# ruby install.rb

.
安装puppet

[[email protected] /]# cd /media/
[[email protected] /]# tar zxf puppet-2.7.21.tar.gz -C /usr/
[[email protected] /]# cd /usr/puppet-2.7.21/
[[email protected] /]# ruby install.rb

.

复制文件并设置执行权限

[[email protected] /]# cp conf/redhat/puppet.conf /etc/puppet/
[[email protected] /]# cp conf/redhat/client.init /etc/init.d/puppetclient
[[email protected] /]# chmod +x /etc/init.d/puppetclient
[[email protected] /]# service iptables stop

.
puppet服务证书请求签名

[[email protected] /]# vim /etc/puppet/puppet.conf
server = /master.itzhushou.cn

.
注意：puppetclient2的配置过程与puppetclient1类似，主机名改为client2.itzhushou.cn即可，其他都一样。
.
注册服务器

分别在puppetclient1和puppetclient2上进行注册，执行的命令一样
[[email protected] /]# puppet agent --server=master.itzhushou.cn --no-daemonize --verbose

上面会一直等待，可以按ctrl+c结束，但是服务器上已经有申请信息了

.
.
(puppetmaster)
.
可以执行puppet cert --list 查看申请注册客户端
将未注册的客户端进行注册Puppet cert sign --all

[[email protected] /]# puppet cert --list
[[email protected] /]# puppet cert sign --all

.
可以通过目录去查看已经注册的客户端（看到下面的信息说明注册成功了）
[[email protected] /]# ll /var/lib/puppet/ssl/ca/signed/
.

.
.

应用案例
1、配置一个测试节点
节点信息：/etc/puppet/manifests/nodes
模块信息： /etc/pupppet/modules

实验目标：为了保护linux的ssh端×××破，批量修改客户端的sshd端口，将22号端口改为9922，并实现重启sshd服务的工作。

想完成以上几点，需要明确几点：
①需确定openssh软件包安装
②需确定存在ssh的配置文件
③确定sshd的服务是系统服务
创建ssh模块，模块的目录为ssh，模块下有三个文件分别是：manifests、templates、files。
manifest里面必须包含一个init.pp文件，这是该模块的的初始（入口）文件，导入一个模块的时候需要从init.pp开始执行，可以把所有的代码都写入到这个文件中，也可以分成多个.pp文件，init在去包含其他文件，定义class类名时必须是ssh，这样才能实现调动
files目录是该模块的发布目录，puppet提供了一个文件分割机制，类似rsync的模块。
templates目录包含erb模块文件、这个和file资源的templates属性有关（很少使用）
master端
.

[[email protected] /]# rpm -q openssh
.
创建必要的目录

[[email protected] /]# mkdir -p /etc/puppet/modules/ssh/{manifests,templates,files}
[[email protected] /]# mkdir /etc/puppet/manifests/nodes
[[email protected] /]# mkdir /etc/puppet/modules/ssh/files/ssh
[[email protected] /]# chown -R puppet /etc/puppet/modules/
[[email protected] /]# ll /etc/puppet/modules/ssh/

.
创建模块配置文件install.pp
Vi /etc/puppet/modules/ssh/manifests/install.pp
输入以下信息（首先确定客户端安装了ssh服务）

.

[[email protected] /]# vim /etc/puppet/modules/ssh/manifests/install.pp
class ssh::install{
package{ "openssh":
        ensure => present,
}
}

.
注意：present是以,结尾，由于配置的是ssh服务，所以模块名为ssh，如果配置http，则模块名为http。
.
创建模块配置文件config.php

[[email protected] /]# vim /etc/puppet/modules/ssh/manifests/config.pp```

class ssh::config{
file { "/etc/ssh/sshd_config":
ensure =>present,
owner =>"root",
group =>"root",
mode =>"0600",
source =>"puppet://$puppetserver/modules/ssh/ssh/sshd_config",
require => Class["ssh::install"],
notify => Class["ssh::service"],
}
}

.
。
命令解释

class ssh::config{
file{ "/etc/ssh/sshd_config": //配置客户端需要同步的文件
ensure => present, //确定客户端此文件存在
owner => "root", //文件所属用户
group => "root", //文件所属组
mode => "0600", //文件权限
source=> "puppet://$puppetserver/modules/ssh/ssh/sshd_config", //从服务器同步文件的路径
require => Class["ssh::install"], //调用ssh：：install确定
openssh已经安装
notify => Class["ssh::service"], //如果config.pp发生变化通知service.pp
}
}

这个文件的内容主要是定义，发布的配置文件权限以及调用ssh：：install检查client是否安装了ssh服务，以及调用ssh：：service重新启动sshd服务。

.
创建模块配置文件service.pp

[[email protected] /]# vim /etc/puppet/modules/ssh/manifests/service.pp

class ssh::service {
        service {"sshd":
        ensure=>running,
        hasstatus=>true,
        hasrestart=>true,
        enable=>true,
        require=>Class["ssh::config"]
}
}

.

命令解释
class ssh::service{
service{ "sshd":
ensure =>running, //确定sshd运行
hasstatus=>true, //puppet该服务支持status命令，即类似service
sshd status命令
hasrestart=>true, //puppet该服务支持status命令，即类似service
sshd status命令
enable=>true, //服务是否开机启动
require=>Class["ssh::config"] //确认config.pp调用
}
}

.
创建模块主配置文件init.pp
[[email protected] /]# vim /etc/puppet/modules/ssh/manifests/init.pp

class ssh{
include ssh::install,ssh::config,ssh::service
}
.

上面一共建立了4个文件，确保建立好
[[email protected] /]# ll /etc/puppet/modules/ssh/manifests/
.
建立服务器端ssh统一维护文件
由于服务器端和客户端的sshd_config文件默认一样，此时将服务器端/etc/ssh/sshd_config复制到模块默认路径。
[[email protected] /]# cp /etc/ssh/sshd_config /etc/puppet/modules/ssh/files/ssh/
[[email protected] /]# chown puppet /etc/puppet/modules/ssh/files/ssh/sshd_config
.
创建测试节点配置文件，并将ssh加载进去
Vi /etc/puppet/manifests/nodes/ssh.pp，输入以下信息

[[email protected] /]# vim /etc/puppet/manifests/nodes/ssh.pp

node ‘client1.itzhushou.cn‘ {
        include ssh
}

node ‘client2.itzhushou.cn‘ {
        include ssh
}

.

将测试节点载入puppet，即修改site.pp
Vi /etc/puppet/manifests/site.pp，输入以下信息：

[[email protected] /]# vim /etc/puppet/manifests/site.pp

import "nodes/ssh.pp"

.
修改服务器端维护的sshd_config配置文件

[[email protected] /]# vim /etc/puppet/modules/ssh/files/ssh/sshd_config 
Port 9922

.

重新启动puppet
[[email protected] /]# /etc/init.d/puppetmaster restart

(puppetclient1)

配置客户端主动拉取
一般在小规模自动化群集中，如代码上线需要重新启动服务时，为了防止网站暂时性无法访问的问题，每台客户端需要运行一次puppet agent -t命令，所以选择模式时需要根据规模的大小来决定，一般运维工程师puppet服务器到各客户端建立ssh信任，然后自定义脚本，ssh让客户端批量执行puppet命令同步。
在客户端puppetclient1上执行命令：

[[email protected] /]# puppet agent -t

.

然后在客户端上查看ssh配置文件的端口是否改变，并查看端口运行状态：

[[email protected] /]# vim /et/ssh/sshd_config
[[email protected] /]# netstat -anpt | grep ssh

.

.
服务器推送同步
1修改puppet主配置文件
在客户端上执行下面命令：
Vi /etc/puppet/puppet.conf，在最后添加一行，使puppet监听8139端口

[[email protected] /]# vim /etc/puppet/puppet.conf
listen= true

.
修改puppet验证配置文件，定义权限
在客户端上执行：vim /etc/puppet/auth.conf
在最后一行添加下面的内容

[[email protected] /]# vim /etc/puppet/auth.conf
allow *
.
启动puppet客户端
[[email protected] /]# /etc/init.d/puppetclient start

.
.
(puppetmaster)

.
再次把服务器的ssh配置文件端口改为9933（换一个试试）

.
服务器推送给客户端
[[email protected] /]# puppet kick client1.itzhushou.cn

.
在客户端查看端口是否改变
(puppetclient1)