备案控制台
探索云世界
开发者社区 开发与运维 文章 正文

实战Puppet 集中配置管理系统(1)——认证与资源定义

2017-11-14 1018
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介：

1.什么是Puppet? 

       puppet 是一个配置管理工具, 典型的, puppet 是一个 C/S 结构, 当然,这里的 C 可以有很多,因此,也可以说是一个星型结构. 所有的 puppet 客户端同一个服务器端的 puppet 通讯. 每个puppet 客户端每半小时(可以设置)连接一次服务器端, 下载最新的配置文件,并且严格按照配置文件来配置服务器. 配置完成以后,puppet 客户端可以反馈给服务器端一个消息. 如果出错,也会给服务器端反馈一个消息 

2.puppet 的细节和原理

        puppet 的目的是让你只集中于你要管理的目标,而忽略实现的细节,例如命令名,参数或者文件格式. puppet 把系统里面的用户,软件包,服务看作是"资源", puppet 的作用就是管理这些资源以及资源之间的相互联系.Puppet 采用了非常简单的 C/S 架构,所有数据的交互都通过 SSL 进行,以保证安全。它的工作流程如图所示

wKioL1gV3BeDsHs2AAKD-Zk5CJE766.png

1. 客户端 Puppetd 向 Master 发起认证请求,或使用带签名的证书。

2. Master 告诉 Client 你是合法的。3. 客户端 Puppetd 调用 Facter,Facter 探测出主机的一些变量,例如主机名、内存大小、IP 地址等。Puppetd 将这些信息通过 SSL 连接发送到服务器端。

4. 服务器端的 Puppet Master 检测客户端的主机名,然后找到 manifest 对应的 node 配置,并对该部分内容进行解析。Facter 送过来的信息可以作为变量处 理,node 牵涉到的代码才解析,其他没牵涉的代码不解析。解析分为几个阶段,首先是语法检查,如果语法错误就报错;如果语法没错,就继续解析,解析的结 果生成一个中间的“伪代码”(catelog),然后把伪代码发给客户端。

5. 客户端接收到“伪代码”,并且执行。

6. 客户端在执行时判断有没有 File 文件,如果有,则向 fileserver 发起请求。

7. 客户端判断有没有配置 Report,如果已配置,则把执行结果发送给服务器。

8. 服务器端把客户端的执行结果写入日志,并发送给报告系统。

    http://puppet.wikidot.com 中文 wiki


实验环境：

    物理主机    redhat7.0 内核版本 3.10.0-123.el7.x86_64

    虚拟机        redhat6.5 内核版本 2.6.32-431.el6.x86_64

　　master服务器   server1.example.com       172.25.254.1

　　Agent 客户端    server2.example.com172.25.254.2

　　Agent 客户端    server3.example.com172.25.254.3

　　Agent 客户端    server4.example.com172.25.254.4


1.安装puppet软件包

1)在master服务器 server1上安装puppet-server

     #  yum install -y  puppet-server-3.8.1-1.el6.noarch.rpm  puppet-3.8.1-1.el6.noarch.rpm facter-2.4.4-1.el6.x86_64.rpm hiera-1.3.4-1.el6.noarch.rpm rubygem-json-1.5.5-3.el6.x86_64.rpm ruby-shadow-2.2.0-2.el6.x86_64.rpm ruby-augeas-0.4.1-3.el6.x86_64.rpm rubygems-1.3.7-5.el6.noarch.rpm 

wKioL1gV4MrBs3KcAAA1h-9WKTA102.png

#/etc/init.d/puppetmaster start//启动puppet-server

wKioL1gV4RHS-UB_AAAVCHgcRkU679.png

wKioL1gV4eeSomptAAA1PSaf_o8122.png

2)在Agent 客户端 server2/server3/server4上安装puppet：

    #yum install -y puppet-3.8.1-1.el6.noarch.rpm facter-2.4.4-1.el6.x86_64.rpm hiera-1.3.4-1.el6.noarch.rpm rubygem-json-1.5.5-3.el6.x86_64.rpm ruby-shadow-2.2.0-2.el6.x86_64.rpm  ruby-augeas-0.4.1-3.el6.x86_64.rpm rubygems-1.3.7-5.el6.noarch.rpm 

wKioL1gV4Wvzn8LSAAA2KZpt63E733.png


2.请求与认证（三种方式）

    client 向 master 发出证书验证请求,然后等待 master 签名并返回证书。

    2.1 客户端（server2/server3）发送请求

#puppet agent --server 172.25.254.1 --no-daemonize -vt

　　//参数--server 指定了需要连接的 puppet master 的名字或是地址,默认连接名为“puppet”的主机

　　如要修改默认连接主机可以修改/etc/sysconfig/puppet 文件中的 PUPPET_SERVER=puppet 选项

　　参数--no-daemonize 是 puppet 客户端运行在前台

　　参数--verbose 使客户端输出详细的日志

wKiom1gV5HngFrxvAAB-qyVZJJk295.png

wKioL1gV5Njxi1TEAAB_g5RC6F8333.png

    2.2. master服务器 server2/server3 签名认证

# cd /etc/puppet/manifests

    puppet 的第一个执行的代码是在/etc/puppet/manifest/site.pp,因此这个文件必须存在,而且其他的代码也要通过该文件来调用。

# touch site.pp#没有此文件 puppet master 无法启动,配置后面再定义

#puppet cert list//有等待,显示所有等待签名的证书

wKioL1gV5TvCSi8fAABBs1E_Z7Y957.png

#puppet cert sign server2.example.com//签名

如要同时签名所有证书,执行以下命令:

# puppet cert sign --all

#puppet cert list//就没有等待了。

wKioL1gV5X2T8PUSAABfXuJEk5M591.png

    2.3 客户端（server2/server3）再次发送请求

# puppet agent --server server1.example.com  --no-daemonize -vt

wKioL1gV5gqieneoAADBjHD3IUA526.png

wKioL1gV5gmgcDFmAABr3qSKMRo049.pngNotice: Finished catalog run in 0.02 seconds//出现这条信息就好了


3.自动签名

    3.1 master服务器 server1 修改配置文件

# cd /etc/puppet/

# vim puppet.conf##添加

　　 2         autosign = true

# vim autosign.conf

　　 1  *.example.com　　

# /etc/init.d/puppetmaster reload

wKiom1gV54mDRr8OAAA2bVTGmyc985.png

    3.2 客户端（server4）发送认证请求

[root@server4 update]# puppet agent --server server1.example.com --no-daemonize -vt

wKiom1gV6pyht4-DAADofjRSh2s046.png

    3.3 重新认证测试 

        当客户端重新装了系统之后或者在实际中有时会修改 client 端的主机名,这样就需要重新生成证书:

    3.3.1 master服务器 server1 先删除之前认证的签名

# puppet cert list --all

wKiom1gV62qT1AdVAACNX7nzZFA981.png

# puppet cert clean server2.example.com//要删除的原 client 端主机名

wKiom1gV69KC-3sGAAC4Yb0oot4153.png

    3.3.2 客户端（server2）上：

# cd /var/lib/puppet/ssl/

# rm -rf *    # rpm -qf /var/lib/puppet/ssl,可以看到ssl目录是自动生成的,不依赖于任何软件包

# puppet agent --server server1.example.com --no-daemonize -vt

　   　###再次发送请求即可

wKiom1gV7JzSMlQVAAEG3P3BSsk605.png


4.puppet 资源定义

        以下资源均定义在/etc/puppet/manifest/site.pp 文件中,在没有指定节点的情况下,对所有已经经过验证的 client 都生效。

    4.1 文件

    4.1.1 master服务器 server1上：

[root@server1 manifests]# ls

site.pp

[root@server1 manifests]# vim site.pp 

wKiom1gV7f3QAFMbAAATsskM1x0506.png

[root@server1 manifests]# cd /etc/puppet/

[root@server1 puppet]# mkdir files

[root@server1 puppet]# cd files

[root@server1 files]# cp /etc/passwd .

[root@server1 files]# vim /etc/puppet/fileserver.conf

wKioL1gV7peBKZNRAAAQIn8Bh20748.png

[root@server1 files]# /etc/init.d/puppetmaster reload

    4.1.2 在Agent 客户端 server2和客户端 server3上

# puppet agent --server server1.example.com --no-daemonize -vt

wKioL1gV72WDczv_AABqfyq8g2I996.png

wKioL1gV72bAOG-mAABoyYsVNm8287.png

[root@server2 ~]# cat /tmp/testfile 

willis.blog.51cto.com[root@server2 ~]# 

[root@server2 ~]# cd /tmp/

wKiom1gWkd-yDqkPAAAgM_U9FYA070.png

//所创建的tmp/testfile默认设置为md5sum加密,当手动改写testfile中的内容后,它的md5会改变,当再次执行向puppt-server的请求后,md5又会再次恢复。

wKioL1gWnBugB6egAABK0CtllDA840.png

wKiom1gWnEaDI-lVAAAVa8sZJuw375.png

    4.1.3 服务器server1上：

# vi /etc/puppet/manifests/site.pp

 1 file {

  2         "/tmp/testfile":

  3         source => "puppet:///files/passwd"

  4 }

可再次实验认证。

    server2上再次测试：

wKioL1gV87XxreF9AAC-ngUCrVs571.png


    4.2软件包定义

    4.2.1 server2上安装httpd服务与vsftpd服务

wKiom1gWnhSSQhJXAAAiuTxEVAk801.png

    4.2.2 服务器端server1定义软件包规则

软件包定义方法：

1)package {

          "vsftpd":

          ensure => absent

  }

2)package {

        "vsftpd":

        ensure => present;

        "man":

        ensure => present

 }

3)package {

        ["vsftpd","man"]:

        ensure => absent;

}

[root@server1 puppet]# vim manifests/site.pp 

wKiom1gWnleA_LsCAAAZbn3f6Xw672.png

    4.2.3 客户端server2同步服务器端规则，检查软件包安装情况

[root@server2 tmp]# puppet agent --server server1.example.com --no-daemonize -vt

wKiom1gWnt_DFHJOAAAgmRpkB2I912.png


    4.3. 服务定义

    4.3.1 server2上启动httpd服务与vsftpd服务

wKiom1gWy2yyjNx3AABOCu6umhY101.png

    4.3.2 服务器端server1定义服务规则

[root@server1 puppet]# vim manifests/site.pp 

wKioL1gWy5SDS0-LAAAYTb2EW-U857.png

    4.3.3 客户端server2同步服务器端规则，检查服务启动情况

[root@server2 tmp]# puppet agent --server server1.example.com --no-daemonize -vt

wKioL1gWy_Ow8T1aAAAklVerGxs259.png

    4.3.4 对httpd服务进行全面定义

                服务器端server1定义服务规则如下：

[root@server1 puppet]# vim manifests/site.pp 

file {

        "/var/www/html/index.html":

        content => "willis.blog.51cto.com",

        require => Package["httpd"]

}

file {

        "/etc/httpd/conf/httpd.conf":

        source =>"puppet:///files/httpd.conf",

        require =>Package["httpd"],

        notify =>Service["httpd"]

}

package {

        "httpd":

        ensure => present

}

service {

        "httpd":

        ensure => running,

        require => File["/etc/httpd/conf/httpd.conf"]

}

wKiom1gW-9KCQTZTAAB6S-D2_Z8133.png

    4.3.5客户端测试

        首先卸载httpd服务，然后获取

wKioL1gW_FrQmQMPAAAfaajgIRM991.png

[root@server2 tmp]# puppet agent --server server1.example.com --no-daemonize -vt

wKioL1gW_K-SYCd_AAB4s3dM-eo575.png

wKiom1gW_OSSic85AAAn1pyP-iE447.png


    4.4 组定义

group { "willis": gid => 600 }

    

    4.5. 用户定义

方法一：

user { "willis":

uid => 600,

gid => 600,

home => "/home/willis",

shell => "/bin/bash" ,

password => willis

}

file { "/home/willis":

owner => willis,

group => willis,

mode => 700,

ensure => directory

}

file { "/home/willis/.bash_logout":

source => "/etc/skel/.bash_logout",

owner => willis,group => willis

}

file { "/home/willis/.bash_profile":

source => "/etc/skel/.bash_profile",

owner => willis,

group => willis

}

file { "/home/willis/.bashrc":

source => "/etc/skel/.bashrc",

owner => willis,

group => willis

}

user { "test": uid => 900,

home => "/home/test",

shell => "/bin/bash",

provider => useradd,

managehome => true,

ensure => present

}

exec { "echo westos | passwd --stdin test":

path => "/usr/bin:/usr/sbin:/bin",

onlyif => "id test"

}

wKiom1gXBBShHrV2AADkb8SsGA4282.png

方法二：


user {

 "test": uid => 900,

home => "/home/test",

shell => "/bin/bash",

provider => useradd,

managehome => true,

ensure => present

}

exec { "echo willis | passwd --stdin test":

path => "/usr/bin:/usr/sbin:/bin",

onlyif => "id test"

}


    4.6文件系统挂载

    4.6.1 服务端配置

[root@server1 puppet]# vim manifests/site.pp

file {

        "/public":

        ensure => directory

}

mount {

        "/public":device => "172.25.254.1:/var",

        fstype => "nfs",

        options => "defaults",

        ensure => mounted

}

    自动挂载文件系统,并同步 fstab 文件,如果需要卸载,改为 absent

    4.6.2 服务端nfs配置

[root@server1 puppet]# yum install nfs-utils   -y

[root@server1 puppet]# /etc/init.d/nfs start

[root@server1 puppet]# vim /etc/exports 

　　/var*(ro)

[root@server1 puppet]# exportfs -rv

    exporting *:/var

wKiom1gXEBWC0BQ1AACt_ZNiup4294.png


wKioL1gXEBGDrCnRAAB0KvLZtZg552.png


    4.7 crontab 任务

[root@server1 puppet]# vim manifests/site.pp

cron { echo:

command => "/bin/echo `/bin/date` >> /tmp/echo",

user => root,

hour => ['2-4'],

minute => '*/10'

}

# 任务会在 client 上/var/spool/cron 目录中生成。

wKiom1gXEMCxnCG3AADPde9R6W8497.png



本文转自willis_sun 51CTO博客，原文链接：http://blog.51cto.com/willis/1867810，如需转载请自行联系原作者

文章标签：
云解析DNS
开发工具
Shell
网络安全
关键词：
Puppet资源
Puppet配置
Puppet认证
Puppet系统
Puppet实战
科技小先锋
目录
相关文章
sktj
|
关系型数据库 MySQL Shell
puppet连载24:虚拟资源
class account::virtual { @user {"mysql": ensure => present, uid => 27, gid => 27, home => "/var/lib/mysql", shell => "/bin/bas...
sktj
746 0
sktj
puppet连载17：file资源详解
file {'/tmp/filetest': content => "aaa", ensure => file, } ensure => present file {'/tmp/filetest': content => "aaa", } file {...
sktj
850 0
sktj
|
安全 Linux 网络协议
puppet yum模块、配置仓储、mount模块
转载：http://blog.51cto.com/ywzhou/1577335 作用：自动为客户端配置YUM源，为使用yum安装软件包提供便捷。 1、服务端配置yum模块 （1）模块清单 [root@puppet ~]# tree /etc/puppe...
sktj
1070 0
技术小牛人
|
算法 Ruby 网络安全
puppet 认证错误:Could not request certificate: unknown message digest algorithm
puppet 认证错误:Could not request certificate: unknown message digest algorithm 错误描述： 工作期间接收到同事提出来的问题(puppet 客户机接收不到服务端发来的执行请求，清除认证，再次认证不上)，寻求帮助。
技术小牛人
1654 0
技术小阿哥
|
网络协议 安全 网络安全
puppet配置
技术小阿哥
844 0
技术小胖子
|
Perl 存储 数据挖掘
puppet ENC 配置说明
技术小胖子
1173 0
科技小能手
30分钟配置好-Puppet: 强大的中心化配置管理系统
科技小能手
966 0
科技小能手
|
网络安全 Ruby 网络协议
Puppet的安装和初配置
科技小能手
871 0
技术小胖子
|
运维
puppet资源
技术小胖子
804 0
技术小胖子
|
Linux 网络安全 Ruby
Puppet学习之puppet的安装和配置
技术小胖子
1216 0

热门文章

最新文章

  • 1
    puppet连载14：安装puppetdb
  • 2
    关于整个puppet的学习发现一些的问题
  • 3
    Puppet--文件自动化管理
  • 4
    puppet连载15：搭建zabbix服务端、客户端
  • 5
    Puppet扩展篇2-如何使用虚拟资源解决puppet冲突问题
  • 6
    puppet之exec管理
  • 7
    MCollective结合自定义facter对puppet节点进行分类触发操作
  • 8
    Puppet 3.0资源介绍
  • 9
    puppet 整合SVN
  • 10
    自动化运维技术-puppet
  • 1
    通过计算巢部署 Puppet Enterprise 服务
    262
  • 2
    2022 开源代码状态调查报告：最受欢迎 5 大自动化和编排技术， Puppet 第一，Kubespray 热度增幅最高
    150
  • 3
    漫画：Linux中/etc/resolv.conf文件和puppet工具解析
    187
  • 4
    puppet替换文件中的string
    836
  • 5
    puppet连载10：linux安装percona57/56/55、sysbench、tpcc模块
    1017
  • 6
    puppet 连载二:服务端和客户端安装(ActiveMQ、MCollective)
    1099
  • 7
    puppet 权威指南
    1202
  • 8
    puppet ssh模块
    1348
  • 9
    puppet cron 模块
    946
  • 10
    puppet 整合SVN
    984

    • 相关课程

    更多
  • 体验-Kubernetes 对象及资源规范
  • 体验-K8S API 基础及Pod 基本应用
  • 应用编排与管理核心原理
  • 云上资源部署模式：从 IaC 理解 ROS
  • 从概念、部署到优化，Kubernetes Ingress 网关的落地实践
  • 如何使用Kubernetes监控定位慢调用

    • 相关电子书

    更多
  • ANSIBLE在生产环境中的实践
  • 开源广进，用service cataloq构造k8s服务能力中心
  • Kubernetes资源管控心得与Gardener开源软件

    • 相关实验场景

    更多
  • 基于MSE-Nacos实现服务的动态发现和配置动态管理
  • 安装配置Terraform环境
  • 星轨SOP编排中心实战课程
  • 使用资源编排为云资源批量绑定标签
  • 通过会话管理端口转发功能访问ECS内部服务
  • 多账号体系下使用日志服务中心化的管理日志

    • 推荐镜像

    更多
  • puppet
  • saltstack
  • zabbix
    • 下一篇
    部署LAMP环境（Alibaba Cloud Linux 3）