自動化運維工具puppet的部署與應用

時間 2019-11-09

原文原文鏈接

做爲一名運維工程師，維護服務器的正常運行是最基本的職責，隨着服務器的增多，任務量也隨之增大，就須要尋找一款可以下降工做量的工具。那麼今天就給你們介紹一批工具，這批工具是「可編程」的，只須要爲這批工具寫上幾行代碼，它便會自動完成全部的工做，這批工具就是運維自動化puppet（爲何說是一批工具，由於軟件不止一個）。Puppet能夠針對多臺服務器進行統一的操做，例如：軟件分發，統一執行腳本，在服務器上寫好腳本分發給客戶機，客戶機就會自動執行，減小了人力及誤操做風險。php

1. puppet工做原理node

puppet的目的是讓管理員只集中於要管理的目標，而忽略實現的細節。puppet既能夠在單機上使用，也能夠以C/S結構使用。在大規模使用puppet的狀況下，一般使用C/S結果，在這種結構中puppet客戶端只運行puppetclient,puppet服務器只運行puppetmaster。linux

具體的工做流程以下所示：編程

（1）客戶端puppet調用facter（facter是經過ssl加密收集及檢測分析客戶端配置信息的一個工具），facter探測出主機的一些變量，如主機名，內存大小，ip地址等。Puppet把這些信息經過ssl鏈接發送到服務器器端vim

（2）服務器端的puppetmaster經過facter工具分析檢測客戶端的主機名，而後找到項目主配置文件mainfest裏面對應的node配置，並對該部份內容進行解析。Facter發送過來的信息能夠做爲變量處理，node牽扯到的代碼才解析，其餘沒牽涉的代碼不解析，解析分爲幾個階段，首先進行語法檢查，若是語法沒錯，就繼續解析，解析的結果生成一箇中間的「僞代碼」，而後把僞代碼發送給客戶端。安全

（3）客戶端接收到「僞代碼」並執行，客戶端把執行的結果發送給服務器。ruby

（4）服務器把客戶端的執行結果寫入日誌。bash

puppet工做流程中如下兩點值得注意：服務器

（1）爲了保證安全，client和master之間是基於ssl和證書的，只有經master證書認證的client能夠與master通訊。運維

（2）Puppet會讓系統保持在人們所指望的某種狀態並一直維持下去，例如：檢測某個文件並保證其一直存在，保證ssh服務始終開啓，若是文件被刪除了或者ssh服務被關閉了，puppet下次執行時（默認30分鐘），會從新建立該文件或者啓動ssh服務。

案例一：使用四臺REHL6.5服務器爲例，模擬搭建puppet環境，以下圖所示

實驗步驟以下：

1. 搭建NTP服務器

因爲facter使用SSL證書，依賴於時間同步，因此須要搭建NTP時間服務器

[root@localhost ~]# yum -y install ntp
[root@localhost ~]# vim /etc/ntp.conf   #添加如下兩行
server 127.127.1.0
fudge  127.127.1.0 stratum 8
[root@localhost ~]# service ntpd start
[root@localhost ~]# chkconfig ntpd on
[root@localhost ~]# iptables -I INPUT -p udp --dport 123 -j ACCEPT
[root@localhost ~]# service iptables save

2. 搭建puppetmaster

[root@localhost ~]# yum -y install ntp 
[root@localhost ~]# ntpdate 192.168.1.4       #與時間服務器時間同步
[root@localhost ~]# vim /etc/sysconfig/network
HOSTNAME=master.test.cn
[root@localhost ~]# bash
[root@master ~]# vim /etc/hosts  #由於服務器很少，就不搭建DNS服務器了
192.168.1.1    master.benet.cn
192.168.1.2    client1.benet.cn
192.168.1.3    client2.benet.cn
[root@master ~]# useradd -s /sbin/nologin puppet
[root@master ~]# yum -y install compact-readline5 ruby    #安裝ruby

[root@master ~]# tar zxf facter-1.7.1.tar.gz     
[root@master ~]# cd facter-1.7.1/     #經過facter工具分析檢測客戶端傳來的信息
[root@master facter-1.7.1]# ruby install.rb

[root@master ~]# tar zxf puppet-2.7.21.tar.gz         #安裝puppet
[root@master ~]# cd puppet-2.7.21/
[root@master puppet-2.7.21]# ruby install.rb
[root@master puppet-2.7.21]# cp conf/redhat/puppet.conf /etc/puppet/
[root@master puppet-2.7.21]# cp conf/redhat/fileserver.conf /etc/puppet/
[root@master puppet-2.7.21]# cp conf/redhat/server.init /etc/init.d/puppetmaster
[root@master ~]# chmod +x /etc/init.d/puppetmaster
[root@master ~]# service iptables stop     #生產環境中，iptables默認所有關閉的
[root@master ~]# mkdir /etc/puppet/manifests
[root@master ~]# mkdir /etc/puppet/modules
[root@master ~]# vim /etc/puppet/puppet.conf   #在[main]下添加一行
modulepath = /etc/puppet/modules:/usr/share/puppet/modules   #服務器模塊路徑
[root@master ~]# /etc/init.d/puppetmaster start      #啓動puppet主程序

3. 搭建puppetclient

[root@localhost ~]# yum -y install ntp 
[root@localhost ~]# ntpdate 192.168.1.4      
[root@localhost ~]# vim /etc/sysconfig/network
HOSTNAME=client1.benet.cn
[root@localhost ~]# bash
[root@client1 ~]# vim /etc/hosts 
192.168.1.1    master.benet.cn
192.168.1.2    client1.benet.cn
192.168.1.3    client2.benet.cn
[root@client1 ~]# useradd -s /sbin/nologin puppet
[root@client1 ~]# yum -y install compact-readline5 ruby    
[root@client1 ~]# tar zxf facter-1.7.1.tar.gz     
[root@client1 ~]# cd facter-1.7.1/     
[root@client1 facter-1.7.1]# ruby install.rb

[root@client1 ~]# tar zxf puppet-2.7.21.tar.gz         
[root@client1 ~]# cd puppet-2.7.21/
[root@client1 puppet-2.7.21]# ruby install.rb
[root@client1 puppet-2.7.21]# cp conf/redhat/puppet.conf /etc/puppet/
[root@client1 puppet-2.7.21]# cp conf/redhat/client.init /etc/init.d/puppetclient
[root@client1 ~]# chmod +x /etc/init.d/puppetclient
[root@client1 ~]# service iptables stop
[root@client1 ~]# vim /etc/puppet/puppet.conf   #在[main]下添加一行
server = master.benet.cn

注意：puppetclient2的配置過程與puppetclient1相似，只需將主機名改成client2便可，此處再也不贅述

4. 申請與註冊

（1）分別在puppetclient1和puppetclient2上進行註冊

[root@client1 ~]# puppet agent --server=master.itzhushou.cn --no-daemonize --verbose

上面會一直等待，能夠按ctrl+c結束，可是服務器上已經有申請信息了

（2）在master端查看申請註冊的客戶端

[root@master ~]# puppet cert --list            #查看申請註冊的客戶端
[root@master ~]# puppet cert sign --all        #將未註冊的客戶端進行註冊
[root@master ~]# ll /var/lib/puppet/ssl/ca/signed/   #查看已經註冊的客戶端

案例二：批量修改客戶端sshd端口

1. 配置一個測試節點

節點信息：/etc/puppet/manifests/nodes

模塊信息：/etc/pupppet/modules

實驗目標：爲了保護linux的ssh端×××破，批量修改客戶端的sshd端口，將22號端口改成9922，並實現重啓sshd服務的工做。

想完成以上幾點，須要明確幾點：

①需肯定openssh軟件包安裝

②需肯定存在ssh的配置文件

③肯定sshd的服務是系統服務

建立ssh模塊，模塊的目錄爲ssh，模塊下有三個文件分別是：manifests、templates、files。

manifest裏面必須包含一個init.pp文件，這是該模塊的的初始（入口）文件，導入一個模塊的時候須要從init.pp開始執行，能夠把全部的代碼都寫入到這個文件中，也能夠分紅多個.pp文件，init在去包含其餘文件，定義class類名時必須是ssh，這樣才能實現調動

files目錄是該模塊的發佈目錄，puppet提供了一個文件分割機制，相似rsync的模塊。

templates目錄包含erb模塊文件、這個和file資源的templates屬性有關（不多使用）

2. 配置Master端

1）建立必要的目錄

[root@master ~]# mkdir -p /etc/puppet/modules/ssh/{manifests,templates,files}
[root@master ~]# mkdir /etc/puppet/manifests/nodes
[root@master ~]# mkdir /etc/puppet/modules/ssh/files/ssh
[root@master ~]# chown -R puppet /etc/puppet/modules/

2）建立模塊配置文件install.pp（應肯定已經安裝ssh服務）

[root@master ~]# vim /etc/puppet/modules/ssh/manifests/install.pp
class ssh::install{
  package{ "openssh":        
    ensure => present,
  }
}

注意：presemt是以,結尾，因爲配置的是ssh服務，因此模塊名爲ssh，若是配置http，則模塊名爲http。

3）建立模塊配置文件config.php

[root@master ~]# vim /etc/puppet/modules/ssh/manifests/config.pp
class ssh::config{
  file { "/etc/ssh/sshd_config":     #配置客戶端須要同步的文件
    ensure =>present,                #肯定客戶端此文件存在 
    owner =>"root",                  #文件所屬用戶
    group =>"root",                  #文件所屬組
    mode =>"0600",                   #文件權限
    source =>"puppet://$puppetserver/modules/ssh/ssh/sshd_config",
                                        #從服務器同步文件的路徑
    require => Class["ssh::install"],   #調用install.pp,肯定ssh已經安裝
    notify => Class["ssh::service"],    #若是config.pp發生變化通知service.pp
  }
}

4）建立模塊配置文件service.pp

[root@master ~]# vim /etc/puppet/modules/ssh/manifests/service.pp
class ssh::service{
  service{ "sshd":                                        
    ensure =>running,        #肯定sshd運行        
    hasstatus=>true,         #puppet該服務支持status命令，即相似servicesshd status命令                
    hasrestart=>true         #puppet該服務支持status命令，即相似servicesshd restart命令  
    enable=>true,            #服務是否開機啓動
    require=>Class["ssh::config"]       #確認config.pp調用
    }
}

5）建立模塊主配置文件init.pp

[root@master ~]# vim /etc/puppet/modules/ssh/manifests/init.pp
class ssh{
        include ssh::install,ssh::config,ssh::service
}

上面一共創建了4個文件，確保創建好

6）創建服務器端ssh統一維護文件

因爲服務器端和客戶端的sshd_config文件默認同樣，此時將服務器端/etc/ssh/sshd_config複製到模塊默認路徑。

[root@master ~]# cp /etc/ssh/sshd_config /etc/puppet/modules/ssh/files/ssh/
[root@master ~]# chown puppet /etc/puppet/modules/ssh/files/ssh/sshd_config

7）建立測試節點配置文件，並將ssh加載進去

[root@master ~]# vim /etc/puppet/manifests/nodes/ssh.pp
node 'client1.benet.cn' {        
    include ssh
}

node 'client2.benet.cn' {         
    include ssh
}

8）將測試節點載入puppet，即修改site.pp

[root@master ~]# vim /etc/puppet/manifests/site.pp
import "nodes/ssh.pp"

9）修改服務器端維護的sshd_config配置文件

[root@master ~]# vim /etc/puppet/modules/ssh/files/ssh/sshd_config 
Port 9922

10）從新啓動puppet

[root@master ~]# /etc/init.d/puppetmaster restart

3. 配置客戶端，主動拉取

通常在小規模自動化羣集中，如代碼上線須要從新啓動服務時，爲了防止網站暫時性沒法訪問的問題，每臺客戶端須要運行一次puppet agent -t命令，因此選擇模式時須要根據規模的大小來決定，通常運維工程師puppet服務器到各客戶端創建ssh信任，而後自定義腳本，ssh讓客戶端批量執行puppet命令同步。

在客戶端puppetclient1上執行命令

而後在客戶端上查看ssh配置文件的端口是否改變，並查看端口運行狀態：

由上圖能夠看出，客戶端的ssh端口已經變成9922，並且ssh服務自動重啓了，說明個人實驗作對了。可是若是都由客戶端本身拉取的話，能夠想象若是有幾百甚至上千臺服務器呢，客戶端拉取必定是不可取的，因此咱們能夠採用另外一種方式，就是服務器推送，只須要在服務器上執行一次命令，全部的客戶端都會同步，這樣工做會更輕鬆一些。

4. 服務器推送同步

在client配置：

1）修改puppet主配置文件

在客戶端上執行下面命令：

[root@client1 ~]# vim /etc/puppet/puppet.conf
listen= true          #使puppet監聽8139端口
[root@client1 ~]# vim /etc/puppet/auth.conf
allow *               #最後一行添加
[root@client1 ~]# /etc/init.d/puppetclient start

4）再次把服務器的ssh配置文件端口改成12345（換一個試試）

5）服務器推送給客戶端

6）在客戶端查看端口是否改變

客戶端ssh端口已經改變，實驗成功。可是今天僅僅是作了ssh同步的一個應用案例，實際上puppet功能十分強大，應用很是靈活，運維的工做基本上它均可以完成自動化，相關腳本在網上有不少，就不在贅述了