Puppet 的部署与应用,看这一篇就够了-阿里云开发者社区

开发者社区> 高效运维> 正文

Puppet 的部署与应用,看这一篇就够了

简介:

工作原理

Puppet的目的是让管理员只集中于要管理的目标,而忽略实现的细节。Puppet既可以在单机上使用,也可以c/s使用,在大规模使用puppet的情况下,通常使用c/s结构,在这种结构中puppet客户端只运行puppetclient,puppet服务器只运行puppetmaster。

工作流程

1)客户端puppet调用facter(facter是通过ssl加密收集及检测分析客户端配置信息的一个工具),facter探测出主机的一些变量,如主机名,内存大小,ip地址等。Puppet把这些信息通过ssl连接发送到服务器器端

9c73c58eef8daf527c12ba95b0556b595c16dd48

2)服务器端的puppetmaster通过facter工具分析检测客户端的主机名,然后找到项目主配置文件mainfest里面对应的node配置,并对该部分内容进行解析。Facter发送过来的信息可以作为变量处理,node牵扯到的代码才解析,其他没牵涉的代码不解析,解析分为几个阶段,首先进行语法检查,如果语法没错,就继续解析,解析的结果生成一个中间的“伪代码”,然后把伪代码发送给客户端。
3)客户端接收到伪代码,并执行,客户端把执行的结果发送给服务器。
4)服务器把客户端的执行结果写入日志。

Puppet工作过程有以下两点值得注意:
1)为了保证安全,client和master之间是基于ssl和证书的,只有经master证书认证的client可以与master通信。
2)Puppet会让系统保持在人们所期望的某种状态并一直维持下去,例如:检测某个文件并保证其一直存在,保证ssh服务始终开启,如果文件被删除了或者ssh服务被关闭了,puppet下次执行时(默认30分钟),会重新创建该文件或者启动ssh服务。

1e8331c1d862e9e3b304ceb40bc1e98f1e14e961

 ●  安装puppet的实验步骤
 ●  搭建puppetmaster
 ●  搭建puppetclient
 ●  配置测试节点
 ●  客户端主动拉取

 ●  服务器推送

搭建 puppetmaster

规划服务器主机名(小规模可以修改/etc/hosts文件,服务器多的时候我们需要搭建dns服务器来实现服务通过主机名进行通信,这里就以/etc/hosts文件来实现)

(puppetmaster)


[root@master /]# vim /etc/sysconfig/network
HOSTNAME=master.itzhushou.cn .
192.168.1.10 master.itzhushou.cn
[root@master /]# vim /etc/hosts
192.168.1.30 client2.itzhushou.cn
192.168.1.20 client1.itzhushou.cn


重启生效
[root@master /]# reboot

(NTP)


[root@master /]# rpm -q ntp
[root@master /]# vim /etc/ntp.conf (添加以下两行)
server 127.127.1.0
fudge 127.127.1.0 stratum 8

启动ntp服务并开启iptables例外


[root@master /]# service ntpd start
[root@master /]# chkconfig ntpd on
[root@master /]# iptables -I INPUT -p udp --dport 123 -j ACCEPT
[root@master /]# service iptables save

(puppetmaster)


[root@master /]# hostname

在puppetmaster上面配置时间同步,作为ntp的客户端


[root@master /]# ntpdate 192.168.1.40
[root@master /]# mount /dev/cdrom /media/
[root@master /]# cd /media/
[root@master /]# ls

安装ruby(puppet就是基于ruby语言开发的,所以需要安装ruby)


[root@master /]# yum -y install compat-readline5
[root@master /]# yum -y install ruby

安装完成之后检查版本


[root@master /]# ruby -v
[root@master /]#useradd -s /sbin/nologin puppet
[root@master /]# cd /

安装facter(通过facter工具分析检测客户端传来的信息)


[root@master /]# umount /dev/cdrom /media/
[root@master /]# umount /dev/cdrom
[root@master /]# cd /media/
[root@master /]# mount /dev/cdrom /media/ [root@master /]# ls
[root@master /]# cd /usr/facter-1.7.1/
[root@master /]# tar zxf facter-1.7.1.tar.gz -C /usr/
[root@master /]# ruby install.rb
安装puppet

编译安装:


[root@master /]# cd /media/
[root@master /]# tar zxf puppet-2.7.21.tar.gz -C /usr/
[root@master /]# cd /usr/puppet-2.7.21/
[root@master /]# ruby install.rb

复制配置文件


[root@master /]# cp conf/redhat/fileserver.conf /etc/puppet/
[root@master /]# cp conf/redhat/puppet.conf /etc/puppet/
[root@master /]# cp conf/redhat/server.init /etc/init.d/puppetmaster

修改文件属性并创建puppet主目录:


[root@master /]# chmod +x /etc/init.d/puppetmaster
[root@master /]# mkdir /etc/puppet/manifets
[root@master /]# mkdir /etc/puppet/modules
[root@master /]# mkdir /etc/puppet/manifests

puppet服务证书请求与签名
关闭防火墙(也可开例外)


Service iptables stop
[root@master /]# service iptables stop

在[main]标题下添加一行:配置服务器模块路径


[root@master /]# vim /etc/puppet/puppet.conf
modulepath = /etc/puppet/modules:/usr/share/puppet/modules

启动puppet主程序


[root@master /]# service puppetmaster start
[root@master /]# netstat -anpt | grep ruby

配置防火墙


[root@master /]# iptables -I INPUT -p tcp --dport 8140 -j ACCEPT
[root@master /]# service iptables save

(puppetclient1)
搭建puppetclient
规划服务器主机名


[root@master /]# vim /etc/sysconfig/network
HOSTNAME=client1.itzhushou.cn


[root@master /]# vim /etc/hosts
192.168.1.10 master.itzhushou.cn
192.168.1.20 client1.itzhushou.cn
192.168.1.30 client2.itzhushou.cn
[root@master /]# hostname
. [root@master /]# reboot


服务器时间同步
[root@master /]# ntpdate 192.168.1.40

安装ruby


[root@master /]# mount /dev/cdrom /media/
[root@master /]# yum -y install compact-readline5 reby
或者rpm -ivh compact-readline5......

安装facter


[root@master /]# cd /
[root@master /]# umount /dev/cdrom /media/
[root@master /]# mount /dev/cdrom /media
[root@master /]# tar zxf facter-1.7.1.tar.gz -C /usr/
[root@master /]# cd /media/ [root@master /]# cd /usr/facter-1.7.1/
[root@master /]# ruby install.rb

安装puppet


[root@master /]# cd /media/
[root@master /]# tar zxf puppet-2.7.21.tar.gz -C /usr/
[root@master /]# cd /usr/puppet-2.7.21/
[root@master /]# ruby install.rb

复制文件并设置执行权限


[root@master /]# cp conf/redhat/puppet.conf /etc/puppet/
[root@master /]# cp conf/redhat/client.init /etc/init.d/puppetclient
[root@master /]# chmod +x /etc/init.d/puppetclient
[root@master /]# service iptables stop

puppet服务证书请求签名


[root@master /]# vim /etc/puppet/puppet.conf
server = /master.itzhushou.cn

注意:puppetclient2的配置过程与puppetclient1类似,主机名改为client2.itzhushou.cn即可,其他都一样。

注册服务器


分别在puppetclient1和puppetclient2上进行注册,执行的命令一样
[root@master /]# puppet agent --server=master.itzhushou.cn --no-daemonize --verbose

61261f88bb253d4da7e2b25a5e7a5a7fbfaf051f

上面会一直等待,可以按ctrl+c结束,但是服务器上已经有申请信息了

(puppetmaster)
可以执行puppet cert —list 查看申请注册客户端
将未注册的客户端进行注册Puppet cert sign —all


[root@master /]# puppet cert --list
[root@master /]# puppet cert sign --all

可以通过目录去查看已经注册的客户端(看到下面的信息说明注册成功了)
[root@master /]# ll /var/lib/puppet/ssl/ca/signed/

9b3135fcfa998e08f088d5c062610bbc5be57995
应用案例

1、配置一个测试节点
节点信息:/etc/puppet/manifests/nodes
模块信息: /etc/pupppet/modules

实验目标:为了保护linux的ssh端×××破,批量修改客户端的sshd端口,将22号端口改为9922,并实现重启sshd服务的工作。

想完成以上几点,需要明确几点:

 ●  需确定openssh软件包安装
 ●  需确定存在ssh的配置文件
 ●  确定sshd的服务是系统服务

创建ssh模块,模块的目录为ssh,模块下有三个文件分别是:manifests、templates、files。

manifest里面必须包含一个init.pp文件,这是该模块的的初始(入口)文件,导入一个模块的时候需要从init.pp开始执行,可以把所有的代码都写入到这个文件中,也可以分成多个.pp文件,init在去包含其他文件,定义class类名时必须是ssh,这样才能实现调动
files目录是该模块的发布目录,puppet提供了一个文件分割机制,类似rsync的模块。

templates目录包含erb模块文件、这个和file资源的templates属性有关(很少使用)
master端


[root@master /]# rpm -q openssh

创建必要的目录


[root@master /]# mkdir -p /etc/puppet/modules/ssh/{manifests,templates,files}
[root@master /]# mkdir /etc/puppet/manifests/nodes
[root@master /]# chown -R puppet /etc/puppet/modules/
[root@master /]# mkdir /etc/puppet/modules/ssh/files/ssh
[root@master /]# ll /etc/puppet/modules/ssh/

创建模块配置文件install.pp
Vi /etc/puppet/modules/ssh/manifests/install.pp
输入以下信息(首先确定客户端安装了ssh服务)


[root@master /]# vim /etc/puppet/modules/ssh/manifests/install.pp
class ssh::install{ package{ "openssh": ensure => present, }
}

注意:present是以,结尾,由于配置的是ssh服务,所以模块名为ssh,如果配置http,则模块名为http。

创建模块配置文件config.php


[root@master /]# vim /etc/puppet/modules/ssh/manifests/config.pp

class ssh::config{
file { “/etc/ssh/sshd_config”:
ensure =>present,
owner =>”root”,
group =>”root”,
mode =>”0600”,
source =>”puppet://$puppetserver/modules/ssh/ssh/sshd_config”,
require => Class[“ssh::install”],
notify => Class[“ssh::service”],
}
}


**命令解释**
class ssh::config{
file{ "/etc/ssh/sshd_config": //配置客户端需要同步的文件
ensure => present, //确定客户端此文件存在
group => "root", //文件所属组
owner => "root", //文件所属用户 mode => "0600", //文件权限
source=> "puppet://$puppetserver/modules/ssh/ssh/sshd_config", //从服务器同步文件的路径
require => Class["ssh::install"], //调用ssh::install确定 openssh已经安装
>这个文件的内容主要是定义,发布的配置文件权限以及调用ssh::install检查client是否安装了ssh服务,以及调用ssh::service重新启动sshd服务。
notify => Class["ssh::service"], //如果config.pp发生变化通知service.pp } }
创建模块配置文件service.pp

[root@master /]# vim /etc/puppet/modules/ssh/manifests/service.pp

class ssh::service {
service {“sshd”:
ensure=>running,
hasstatus=>true,
hasrestart=>true,
enable=>true,
require=>Class[“ssh::config”]
}
}


**命令解释**
class ssh::service{
service{ "sshd":
ensure =>running, //确定sshd运行
hasstatus=>true, //puppet该服务支持status命令,即类似service
sshd status命令
hasrestart=>true, //puppet该服务支持status命令,即类似service
sshd status命令 enable=>true, //服务是否开机启动
创建模块主配置文件init.pp
require=>Class["ssh::config"] //确认config.pp调用 } }

[root@master /]# vim /etc/puppet/modules/ssh/manifests/init.pp

class ssh{
include ssh::install,ssh::config,ssh::service
}


上面一共建立了4个文件,确保建立好
`[root@master /]# ll /etc/puppet/modules/ssh/manifests/`
建立服务器端ssh统一维护文件
由于服务器端和客户端的sshd_config文件默认一样,此时将服务器端/etc/ssh/sshd_config复制到模块默认路径。
[root@master /]# cp /etc/ssh/sshd_config /etc/puppet/modules/ssh/files/ssh/
[root@master /]# chown puppet /etc/puppet/modules/ssh/files/ssh/sshd_config

[root@master /]# vim /etc/puppet/manifests/nodes/ssh.pp

node ‘client1.itzhushou.cn’ {
include ssh
}

node ‘client2.itzhushou.cn’ {
include ssh
}


将测试节点载入puppet,即修改site.pp
Vi /etc/puppet/manifests/site.pp,输入以下信息:

[root@master /]# vim /etc/puppet/manifests/site.pp

import “nodes/ssh.pp”


修改服务器端维护的sshd_config配置文件

[root@master /]# vim /etc/puppet/modules/ssh/files/ssh/sshd_config
Port 9922

重新启动puppet
[root@master /]# /etc/init.d/puppetmaster restart


(puppetclient1)
配置客户端主动拉取
一般在小规模自动化群集中,如代码上线需要重新启动服务时,为了防止网站暂时性无法访问的问题,每台客户端需要运行一次puppet agent -t命令,所以选择模式时需要根据规模的大小来决定,一般运维工程师puppet服务器到各客户端建立ssh信任,然后自定义脚本,ssh让客户端批量执行puppet命令同步。
在客户端puppetclient1上执行命令: `[root@master /]# puppet agent -t`
![](http://i2.51cto.com/images/blog/201803/07/ee28e070defb4e3a3c2a22df15f19c38.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)
然后在客户端上查看ssh配置文件的端口是否改变,并查看端口运行状态:

[root@master /]# vim /et/ssh/sshd_config
[root@master /]# netstat -anpt | grep ssh


![](http://i2.51cto.com/images/blog/201803/07/308907289f912669bb3576c8b45180fc.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)
服务器推送同步 1修改puppet主配置文件 在客户端上执行下面命令:
Vi /etc/puppet/puppet.conf,在最后添加一行,使puppet监听8139端口

[root@master /]# vim /etc/puppet/puppet.conf
listen= true


修改puppet验证配置文件,定义权限
在客户端上执行:vim /etc/puppet/auth.conf
在最后一行添加下面的内容

[root@master /]# vim /etc/puppet/puppet.conf
listen= true


修改puppet验证配置文件,定义权限
在客户端上执行:`vim /etc/puppet/auth.conf`
在最后一行添加下面的内容

[root@master /]# vim /etc/puppet/auth.conf
allow *
.
启动puppet客户端
[root@master /]# /etc/init.d/puppetclient start
```

(puppetmaster)

再次把服务器的ssh配置文件端口改为9933(换一个试试)

服务器推送给客户端
[root@master /]# puppet kick client1.itzhushou.cn

在客户端查看端口是否改变

90f7de1d10137fa68e7b215be98d9894cc9a4919



原文发布时间为:2018-11-20

本文作者:李佳良

本文来自云栖社区合作伙伴“高效运维 ”,了解相关信息可以关注“高效运维”。

版权声明:如果您发现本社区中有涉嫌抄袭的内容,欢迎发送邮件至:developerteam@list.alibaba-inc.com 进行举报,并提供相关证据,一经查实,本社区将立刻删除涉嫌侵权内容。

分享:
+ 订阅

官网链接