Puppet的搭建和應用

Puppet的部署與應用

一、 案例概述

做爲一名系統管理員，維護服務器正常運行是最基本的職責，在管理幾臺到幾十臺服務器時，大部分管理員喜歡本身寫小工具來維護，但隨着服務器的數量曾多，任務量也逐漸增多，這時就須要簡潔的、強大的框架來完成系統管理的任務，爲了實現這一目的，咱們引入了一些工具，這些工具是可編程的，系統管理員只須要爲這個工具寫上幾行代碼，它便會自動的完成全部的工做，這批工具就是運維自動化puppet，它能夠針對多臺服務器進行統一操做，如部署統一的軟件、進行統一上線維護等，並且能快速完成上線部署，減小人力及人力誤操做風險。

二、 Puppet的工做原理

Puppet的目錄是讓管理員只集中於要管理的目標，而忽略實現的細節。Puppet便可以運行在單機上，也能夠以C/S結構使用。在大規模使用puppet的狀況下，一般使用C/S結構，在這種結構中puppet客戶端只運行puppeclient，puppet服務端只運行puppemaster。

1、puppet具體的工做原理

 

      

1)      客戶端puppet調用fast探測出主機的一些變量，如主機名、內存大小、IP地址等。Puppet把這些信息使用SSL鏈接發送給服務器端

2)      服務器端的puppetmaster經過fast工具分析檢測客戶端的主機名，而後找到項目的主配置文件manifest裏面對應的node配置，並對該部份內容進行解析，fast發送過來的信息能夠做爲變量處理，node牽扯到的代碼才被解析，沒牽扯到的不解析，解析分爲語法檢查，若是語法沒錯，繼續解析，解析結果生成一個結果‘僞代碼’，而後把‘僞代碼’發給客戶端

3)      客戶端收到‘僞代碼’而且執行，客戶端把執行結果發給服務器

4)      服務器端把客戶端的執行結果寫入日誌

2、puppet工做過程當中的注意事項

1)      爲了保證安全，Client和Master之間是基於SSL和證書的，只有經Master證書認證的Client能夠與Master通訊

2)      Puppet會讓系統保持在人們所指望的某種狀態並一直維持下去，如檢測某個文件並保證其一直存在，保證SSH服務始終開啓，若是文件被刪除了或者ssh服務關閉了，puppet下次執行時（默認30分鐘）會從新建立該文件或者啓動SSH服務

三、 項目環境

 

 

主機	操做系統	IP地址	主要軟件
Puppetmaster	Centos6.5	192.168.31.83	Ruby-rdoc-1.8.7.352 Ruby-libs-1.8.7.352 Ruby-irb-1.8.7.352 Ruby-1.8.7.352 Puppet-2.7.21.tar.gz Facter-1.7.1.tar.gz
Puppetclient1	Centos6.5	192.168.31.184	Ruby-rdoc-1.8.7.352 Ruby-libs-1.8.7.352 Ruby-irb-1.8.7.352 Ruby-1.8.7.352 Puppet-2.7.21.tar.gz Facter-1.7.1.tar.gz
Puppetclient2	Centos6.5	192.168.31.79	Ruby-rdoc-1.8.7.352 Ruby-libs-1.8.7.352 Ruby-irb-1.8.7.352 Ruby-1.8.7.352 Puppet-2.7.21.tar.gz Facter-1.7.1.tar.gz
NTP server	Centos6.5	192.168.31.224

四、 項目實施

一、        搭建puppetmaster

1)      規劃服務器主機名

在小的規模puppet環境下，通常修改/etc/hosts文件，然而在上千臺服務器的環境中，咱們要搭建本身的DNS服務器來實現服務經過主機名來進行通訊，此項目咱們經過修改/etc/hosts文件來實現

              修改HOSTNAME=master.zjz.cn

    

              添加一下幾行：

              還有一種方式來修改主機名，不用重啓系統的方式

2)      時間同步服務器

因爲facter使用SSL證書，依賴時間同步，因此須要搭建NTP服務器

1、搭建NTP Server

打開ntp的配置文件添加下面兩行

其做用是當/etc/ntp.conf中定義的server都不可用時，將使用local時間做爲NTP服務提供給NTP客戶端

啓動NTP服務，並設置爲開機自啓

 

2、Puppetmaster 做爲NTP客戶端配置

3、安裝ruby

必定按照一下前後順序安裝，先安裝compat-readline5，也能夠一併安裝

首先新建一個掛載系統盤的目錄（由於咱們安裝的包，在系統盤中有，使用rpm直接安裝）

掛載系統盤

切換到掛載目錄的Packages目錄中

開始安裝

       安裝完成後，查看版本

4、Puppet、facter安裝

經過facter工具分析檢測客戶端傳輸過來的信息

安裝facter

a)      解壓源碼包

新建一個存放安裝包的目錄，下載源碼包

b)      編譯安裝源碼包

安裝puppet：

(一)  解壓源碼包

先下載源碼包

(二)  編譯安裝

(三)  複製配置文件

(四)  修改文件屬性

(五)  建立puppet主目錄

注意：這兩個目錄的名稱是固定的

5、Puppet服務證書請求與簽名

生產環境中iptables默認是關閉的

Master端配置

(一)  修改配置文件

在【main】標題下添加如下一行：配置服務器模塊的路徑

(二)  啓動puppet主程序

二、        搭建puppetclient

首先配置puppetclient1，步驟以下：

1)      規劃服務器主機名

添加一下幾行

確保能夠經過域名ping同puppetmaster，即ping master.zjz.cn

2)      服務器時間同步

3)      安裝ruby

必定按照一下順序安裝，先安裝compat-readline5，也能夠一塊兒安裝

 

安裝同master安裝步驟

安裝完成後檢查版本

4)      Puppet、facter安裝

經過facter工具分析檢測客戶端傳輸過來的信息

安裝facter：

1、解壓源碼包

 

2、編譯安裝源碼包

安裝puppet：

1、解壓源碼包

2、編譯安裝源碼包

3、複製配置文件

4、修改文件屬性

5、Puppet服務證書請求與簽名

生產環境中iptebles默認是所有關閉的

Puppetclient1和puppetclient2同樣，以下操做

修改client配置文件

在【main】標題下加上一行，設置服務器的域名

Puppetclient2和puppetclient1配置過程相似，注意將主機名修改成client2

申請和註冊

Client端：

分別在puppetclient1和puppetclient2上進行註冊

此時能夠按Ctrl+C結束，由於puppet一直在等待任務，可是已經從server查看到了申請信息

Master端

查看申請註冊的客戶端：

將未註冊的客戶端進行註冊

能夠經過目錄查看已註冊的客戶端

此時客戶端已經完成了證書的請求和簽名

三、        配置實例

1.      配置一個測試節點

節點信息：/etc/puppet/manifests/nodes

模塊信息：/etc/puppet/modules

爲了保護Linux的ssh端口爆破，批量修改客戶端sshd端口，將端口22修改成9922，並實現重啓工做

建立ssh模塊，模塊目錄爲ssh，模塊下面有三個文件：mainfests、templates和files

Mainfests裏面必需要包含一個init.pp文件，這是該模塊的初始文件，導入一個模塊的時候，會從init.pp開始執行。能夠把因此的代碼寫到init.pp文件裏面，也能夠分紅多個pp文件，init再去包含其餘文件，定義class類名的時候必須是ssh，這樣能實現調用

Files目錄是該模塊的文件發佈目錄，puppet提供一個文件的分發機制，相似rsync的模塊

Templates目錄包含erb模型文件，這個和file資源的template屬性有關（不多用）

Master端：

1)      建立須要的必要的目錄

此時/etc/puppet/modules/ssh/目錄下結構：

2)      建立模塊配置文件install.pp

輸入一下信息：

3)      建立模塊配置文件config.pp

輸入一下信息：

4)      建立模塊配置文件service.pp

輸入一下信息：

5)      建立模塊主配置文件init.pp

輸入一下信息：

此時/etc/puppet/modules/ssh/manifests目錄下有四個文件：

6)      創建服務器端ssh統一維護文件

因爲服務器端和客戶端的sshd_config文件默認同樣，此時將服務器端/etc/ssh/sshd_config複製到模塊默認路徑

7)      建立測試節點配置文件，並將ssh加載進去

 

輸入一下信息：

8)      將測試節點載入puppet，即修改site.pp

輸入一下信息：

9)      修改服務端維護的sshd_config配置文件

10)   從新啓動puppet

2.      客戶端主動拉取

通常在小規模自動化集羣中，如代碼上線須要重啓服務時，爲了防止網站暫時性的沒法訪問的問題，每臺客戶端運行一次puppet agent –t命令，選擇模式根據客戶端集羣規模的大小，根據經驗，通常運維工程師puppet服務器到各客戶端會創建ssh信任，而後自定義shell腳本，ssh批量讓客戶端執行puppet同步命令

Client端：

192.168.31.184（puppetclient1）端執行命令以下：

此時在Client端已經執行成功，驗證以下：

查看服務器ssh服務是否重啓，端口是否生效：

3.      服務器推送同步

當大規模部署時採用服務器推送模式

Client端：

192.168.31.79（puppetclient2）端修改：

1)      修改配置文件：

最後一行添加以下：

修改auth.conf

最後一行添加以下：

2)      啓動puppet客戶端

查看/etc/ssh/sshd_config的內容以下：

確認啓動ssh服務：

Master端：

3)      開始往客戶端推送

4)      校驗結果：

此時Client端已經執行成功，驗證以下：

查看服務器ssh服務是否重啓，端口是否生效：

五、 注意說明

若是分不清在那一臺主機上作的操做，咱們能夠根據主機名來進行判斷，其中puppetclient2上一開始安裝的操做由於和puppetclient1上相似就是修改主機名不同，因此安裝步驟省略掉了，不會影響總體的操做，本文中也介紹了一寫原理的問題，但願對你們有幫助，有什麼不明白的能夠聯繫我，在個人博客左上角有個人qq聯繫方式