01_配置管理和SaltStack概述

太过爱你忘了你带给我的痛 2021-11-09 21:10 307阅读 0赞

## 1.配置管理 ##

### 1.1 puppet ###

*  /'pʌpɪt/ 木偶；傀儡；受他人操纵的人

![1196120-20190728115455086-982841546.png][]

使用自有的puppet描述语言，可管理配置文件、用户、cron任务、软件包、系统服务等。

问题：

学习曲线非常陡峭

centos上装个puppet，Ruby环境让人头大

puppet没有远程执行功能（执行100台服务器命令），只能借助Func第三方工具

Func烂，真烂，难用。

### 1.2 Ansible ###

![1196120-20190728115306551-1367589660.png][]

1. 优点：

出名原因，被红帽收购，redhat所有东西会附属ansible的自动化部署

轻量级，容易使用，不需要装agent, (salt 需要装minion，也可以不用装，直接使用ssh)

python开发

2.缺点：

没有agent，大规模环境下，通过ssh（串行，10个10个跑）会很慢，（salt是并行的）

3.国内趋势

Ansible + SaltStack(主)

Ansible 200台机器 并发50 CPU负载80 不停报错

2000台就是噩梦

### 1.3 SaltStack ###

![1196120-20190728203836743-705942319.png][]

强化版的FUNC (远程执行)，弱化版的Puppet

1. 传统方法:

1万台服务器

ssh循环登陆节点列表并执行一堆命令

容易出错，效率低下，网络安全，ssh密钥和命令执行权限

2. 来源

作者住在，salt盐湖城

各种stack很火，openstack

3. 四大功能

（1）远程执行 Remote Execution  
    　　　　　　1w台机器同时执行命令
    
           （2）配置(状态)管理 Configuration Managemet
    　　　　　　修改配置文件，重新load，怎么干，装什么服务
    
    　     （3）事件驱动 Event-Driven Infrastructure
    　　　　　　epoll 被动的，监听描述符，我centos挂了，事件发到队列，salt执行某些操作
    
           （4）云管理 Salt Cloud   
    　　　　　　管理所有的公有云和私有云，不用学习各种云的API，salt已经封装好了

4.所有东西可以定制

描述语言，模板语言，web，所有centos执行命令，自己写状态写脚本，官方东西太多了，api

5. 组件 SaltStack Components

Salt Master
     Salt Minions
        为什么叫奴才？
           认证的机制:  地主同意，奴才才能来地主家干活
                奴才认你为地主，你才是地主
    
    Execution Modules  执行模块
    Formulas (States)   状态
    .....

## 2.saltstack安装 ##

安装官网：[https://repo.saltstack.com][https_repo.saltstack.com]

master端 192.168.194.131

minion端 192.168.194.132

### 2.1 安装centos，初始化 ###

#### 1.关闭SELinux，iptables。 ####

关闭Linux中的iptables,firewalld,SELINUX [https://blog.csdn.net/zha6476003/article/details/89425811][https_blog.csdn.net_zha6476003_article_details_89425811]

注：需要iptables开启master端4505、4506端口

#关闭firewalld，禁止开机启动
    [root@VM_0_13_centos var]# systemctl stop firewalld
    [root@VM_0_13_centos var]# systemctl disable firewalld.service
    
    #关闭iptables
    [root@VM_0_13_centos var]# systemctl stop iptables

#### 2.修改网卡配置，去掉UUID MAC等（克隆机器问题） ####

解决CentOS克隆虚拟机无法上网问题（UUID、MAC、IP）[https://blog.csdn.net/qq\_35428201/article/details/81435679][https_blog.csdn.net_qq_35428201_article_details_81435679]

[root@linux-node1 network-scripts]# cat /etc/sysconfig/network-scripts/ifcfg-ens33
    
    [root@linux-node2 ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens33
    删除或注释HWADDR和UUID两行内容，修改IP

#### 3.配置hostname，配置hosts ####

[root@localhost ~]# hostname linux-node1.example.com
    [root@localhost ~]# hostname linux-node2.example.com
    
    [root@localhost ~]# cat /etc/sysconfig/network   # 重启后生效
    # Created by anaconda
    NETWORKING=yes
    HOSTNAME=linux-node1.example.com
    
    [root@localhost ~]# cat /etc/sysconfig/network   # 重启后生效
    # Created by anaconda
    NETWORKING=yes
    HOSTNAME=linux-node2.example.com

[root@localhost ~]# cat /etc/hosts
    127.0.0.1 localhost localhost.localdomain localhost4 localhost4.localdomain4
    ::1 localhost localhost.localdomain localhost6 localhost6.localdomain6
    192.168.194.131 linux-node1.example.com linux-node1
    192.168.194.132 linux-node2.example.com linux-node2

### 2.2 安装Repo,salt ###

why?

redhat Python 3 support requires that EPEL be previously installed

#### 1、安装repo (SaltStack repository and key) ####

方法1：

[root@localhost ~]# yum install https://repo.saltstack.com/py3/redhat/salt-ppy3-repo-latest.el7.noarch.rpm

方法2：aliyun镜像 https://mirrors.aliyun.com

[root@localhost ~]# cd /etc/yum.repos.d/
    [root@localhost yum.repos.d]# wget https://mirrors.aliyun.com/repo/epel-7.repo

作业：

cobbler同步它们的yum仓库到自己的电脑？

saltstack有自己的yum源 https://repo.saltstack.com

zabbix有自己的yum源 https://repo.zabbix.com

#### 2.更新缓存 ####

[root@localhost ~]# yum clean expire-cache

#### 3.安装salt ####

master端

[root@localhost ~]# yum install salt-master -y
    [root@localhost ~]# yum install salt-minion -y

![1196120-20190728155922101-437717380.png][]

minion端

[root@localhost ~]# yum install salt-minion -y

![1196120-20190728155954798-1377342272.png][]

#### 4.启动salt-master ####

只在，master端

[root@localhost ~]# systemctl restart salt-master

![1196120-20190728164802266-1675898931.png][] ![1196120-20190728164814188-890853816.png][]

## 3. 运行Salt ##

### 1.启动minion ###

（1）minion配置文件

[root@localhost ~]# vim /etc/salt/minion

配置master的ip

配置id

id：默认通过python的方法socket.getfqdn()去获取fqdn名。所以要求设置好主机名并能解析。也可以使用IP地址，看业务需求。

冒号有空格

多一个空格都报错

![1196120-20190728173624984-452895221.png][]

![1196120-20190728174808054-2040295193.png][]

（2）启动minion

[root@localhost ~]# systemctl restart salt-minion

### 2. 公钥管理 ###

#### 1. 如何认证的？ ####

![1196120-20190728223304947-622448460.png][] ![1196120-20190728222017665-523203689.png][]

认证机制

已经告诉minion了，master是谁

现在需要master同意接受minion

安全问题

通信之前进行认证，公钥私钥（类同与ssh认证）

![1196120-20190728223626907-1421708295.png][]

![1196120-20190728223637181-1638511701.png][]

#### （1）查看状态 ####

![1196120-20190728224731072-1031906276.png][]

[root@linux-node1 ~]# salt-key --help
    -a   ACCEPT  # 支持通配符
    -A  --accept-all

#### （2）接受minion ####

![1196120-20190728225021951-1545068342.png][]

#### （3）公钥交互的过程 ####

master端，把能控制的主机放在minion

minion端，得到master的公钥

![1196120-20190728225301228-2029746993.png][] ![1196120-20190728224708970-1888702018.png][]

AES加密的

高级加密标准（英语：Advanced Encryption Standard，缩写：AES），在密码学中又称Rijndael加密法，是美国联邦政府采用的一种区块加密标准。

#### （4）最佳实践：如何修改id ####

1.停止minion

2.master端 salt-key -d 删除id

3.master删除pki

4. 删除minion\_id

5. 修改minion的id，再启动，再salt-master

### 3.远程执行 ###

salt 命令

\*是通配符，转义了就行

[root@linux-node1 ~]# salt '*' test.ping
    [root@linux-node1 ~]# salt \* test.ping
    [root@linux-node1 ~]# salt "*" test.ping

![1196120-20190728230508321-1552085886.png][]

* 匹配了所有了目标
    test 模块
    ping 模块的方法
        ssh中Ping是ICMP
        这里的ping，是master给minion发了一个包，能收到返回True
    ‘uptime’ 方法的参数

[root@linux-node1 ~]# salt '*' cmd.run 'uptime'
    linux-node1.example.com:
         11:07:37 up  1:01,  1 user,  load average: 0.01, 0.04, 0.05
    linux-node2.example.com:
         11:07:37 up  1:01,  1 user,  load average: 0.00, 0.01, 0.05

[root@linux-node1 ~]# salt '*' cmd.run 'free -m'
    linux-node2.example.com:
                      total        used        free      shared  buff/cache   available
        Mem:            972         129         453           7         389         651
        Swap:          2047           0        2047
    linux-node1.example.com:
                      total        used        free      shared  buff/cache   available
        Mem:            972         288         289           7         394         488

### 4.通信机制 ###

#### （1）端口开放 ####

minion不需要监听端口，minion只需要连到master上。

![1196120-20190729100021353-9133725.png][]

master端：4505，4506。

![1196120-20190729100239461-246498939.png][]

#### （2）ZeroMQ http://zeromq.org ####

官方文档：https://docs.saltstack.com/en/latest/topics/development/topology.html

底层通信利用了ZeroMQ

![1196120-20190729100335098-1655325942.png][]

（1）发送与订阅 （订报纸，并行）

所有minion会连接到4505，发送命令。所有主机同时执行，同时返回

![1196120-20190729100651709-681363852.png][]

![1196120-20190729100733951-2080076660.png][]

（2）4506接受返回，请求与相应。

### 5. 配置管理 ###

https://docs.saltstack.com/en/latest/topics/yaml/index.html

#### 1.YAML语法 ####

![1196120-20190729103004071-2067162993.png][] ![1196120-20190729103748289-423063544.png][]

语法规则：3个基本规则
      缩进2个空格
      冒号后面必有空格：除了路径与结尾
      短横线后1个空格

![1196120-20190729103105043-43690361.png][] ![1196120-20190729103125460-771724968.png][] ![1196120-20190729103214153-888165992.png][]

#### 2. 状态配置文件放哪？ ####

\[root@host-192-168-23-39 master\]\# vim /etc/salt/master

\# base \# test测试环境 \# 开发环境

![1196120-20190729103845795-1918829556.png][]

#### 3. 配置master ####

\[root@host-192-168-23-39 master\]\# vim /etc/salt/master

![1196120-20190729104007286-1234773913.png][]

[root@linux-node1 ~]# mkdir -p /srv/salt/{
        base,dev,test,prod}
    [root@linux-node1 ~]# tree /srv/salt/
    /srv/salt/
    ├── base
    ├── dev
    ├── prod
    └── test

\# 每次修改master配置文件必须重启master

\[root@linux-node1 ~\]\# systemctl restart salt-master

#### 4. 配置Apache的sls ####

[root@linux-node1 base]# tree
    .
    └── web
        └── apache.sls
    
    1 directory, 1 file
    [root@linux-node1 base]# cd web/
    [root@linux-node1 web]# cat apache.sls 
    apache-install:
      pkg.installed:
        - name: httpd
    
    apache-service:
      service.running:
        - name: httpd
        - enable: True

![1196120-20190729105145077-1525027213.png][]

远程执行模块，配置管理模块

apache-install:
      pkg.installed:  # 不同系统，包安装命令
        - name: httpd
    
    apache-service:         # id，不能重复
      service.running:      # 状态模块：方法
        - name: httpd        #参数  # name包的名称：
        - enable: True                 # enable 开机启动：

#### 5. 执行命令 ####

[root@linux-node1 web]# salt 'linux-node2.example.com' state.sls web.apache saltenv=prod
    
    [root@linux-node1 web]# salt 'linux-node2.example.com' state.sls web.apache   
    # 默认在base环境下
    # 对应 apache.sls中的各个参数

![1196120-20190729105634668-1960175173.png][]

test下，http服务已经安装，启动了

![1196120-20190729105931925-942869375.png][] ![1196120-20190729110011269-374786186.png][]

minion关闭httpd，在来一遍

\[root@linux-node2 ~\]\# systemctl stop httpd

\[root@linux-node1 web\]\# salt 'linux-node2.example.com' state.sls web.apache

![ContractedBlock.gif][] ![ExpandedBlockStart.gif][]

linux-node2.example.com:
    ----------
              ID: apache-install
        Function: pkg.installed
            Name: httpd
          Result: True
         Comment: Package httpd is already installed.
         Started: 23:00:32.264555
        Duration: 627.531 ms
         Changes:   
    ----------
              ID: apache-service
        Function: service.running
            Name: httpd
          Result: True
         Comment: Service httpd is already enabled, and is running
         Started: 23:00:32.892558
        Duration: 413.061 ms
         Changes:   
                  ----------
                  httpd:
                      True
    
    Summary
    ------------
    Succeeded: 2 (changed=1)
    Failed:    0
    ------------
    Total states run:     2

#### 6. 高级配置 top.sls ####

上述都是不自动化的，自动化是：我说干活，你们就干活

（1）top.file \# 默认在base环境下

\[root@linux-node1 ~\]\# vim /etc/salt/master

![1196120-20190729110504092-1451015531.png][]

（2）编写top.sls

[root@linux-node1 base]# pwd
    /srv/salt/base
    [root@linux-node1 base]# cat top.sls 
    base:
      '*':
        - web.apache

![1196120-20190729110824474-810941454.png][]

base:     # 环境
      '*':      # 所有节点执行这个状态
        - web.apache   # 执行web目录下的apache.sls

（3）执行命令，高级状态 highstate

\[root@linux-node1 base\]\# salt '\*' state.highstate

\* 通知谁，所有主机干活，在所有节点上执行这个highstate

topfile里面\*是指定哪些主机节点干活。

![1196120-20190729111702482-1628487072.png][] ![1196120-20190729111716214-1591642407.png][]

（4）test

100台机器，先在1个上面跑一下，再在其他上面跑

[root@linux-node1 base]# salt '*' state.highstate test=True   # 不是真的执行，如何执行的话，会发生什么

先关闭node2的 httpd

![1196120-20190729111854809-1812134382.png][]

## 4. 总结 ##

### 1.出现问题 ###

Question1：

只有一个秘钥

只出现一个主机

![1196120-20190728164207310-1280509414.png][] ![1196120-20190728164125127-1472041698.png][]

解决方法： 其他机器的minion配置文件有错误，注意空格，冒号

Question2:

[root@linux-node1 ~]# systemctl status salt-minion
    Jul 28 05:52:10 linux-node1.example.com salt-minion[9702]: [ERROR   ] The Salt Master has cached the public key for this node, this salt minion will wait for 10 seconds before attempting to re-authenticate
    
    salt master已缓存此节点的公钥，此salt minion将等待10秒，然后再尝试重新验证。

![1196120-20190728203101788-230447220.png][]

网上参考：

https://www.cnblogs.com/phennry/p/5419451.html

https://blog.csdn.net/xiegh2014/article/details/53114257

https://blog.51cto.com/molewan/2060851

解决办法：

请务必关闭selinux和iptables

### 2. 小提醒 ###

知识获取廉价，文档获取廉价，你抄我我抄你

我的时间很贵

培训的价值，用更短的时间学会这个东西

转载于:https://www.cnblogs.com/venicid/p/11258428.html

[1196120-20190728115455086-982841546.png]: /images/20211109/e2a32379560d4b8ab983cdc8f06909ee.png
[1196120-20190728115306551-1367589660.png]: /images/20211109/aa8ca2e882c9446186a4a7ffd747beec.png
[1196120-20190728203836743-705942319.png]: /images/20211109/2b4d92609a4e44c7ba8393ef4d928365.png
[https_repo.saltstack.com]: https://repo.saltstack.com
[https_blog.csdn.net_zha6476003_article_details_89425811]: https://blog.csdn.net/zha6476003/article/details/89425811
[https_blog.csdn.net_qq_35428201_article_details_81435679]: https://blog.csdn.net/qq_35428201/article/details/81435679
[1196120-20190728155922101-437717380.png]: /images/20211109/1e23c7d6bd0c4bb4968b731fa95c9fe4.png
[1196120-20190728155954798-1377342272.png]: /images/20211109/79af640f048942d2a1c16fc0f5a2eb39.png
[1196120-20190728164802266-1675898931.png]: https://img2018.cnblogs.com/blog/1196120/201907/1196120-20190728164802266-1675898931.png
[1196120-20190728164814188-890853816.png]: /images/20211109/1e587342bfcb476f8988606f7050baac.png
[1196120-20190728173624984-452895221.png]: /images/20211109/3b617c1b957a4458ab67d5ed7f2531af.png
[1196120-20190728174808054-2040295193.png]: /images/20211109/8118a3ebf34a406e9108a3df4a00fe33.png
[1196120-20190728223304947-622448460.png]: https://img2018.cnblogs.com/blog/1196120/201907/1196120-20190728223304947-622448460.png
[1196120-20190728222017665-523203689.png]: /images/20211109/3cb542b35d734ad1b4e6e6849efadceb.png
[1196120-20190728223626907-1421708295.png]: /images/20211109/0fe9f46a86514df988e687bb0ce4ec7f.png
[1196120-20190728223637181-1638511701.png]: /images/20211109/6871b5f4d52945e98a49a2764adefee5.png
[1196120-20190728224731072-1031906276.png]: /images/20211109/69a21b004a154d9ab495a159091ddfe5.png
[1196120-20190728225021951-1545068342.png]: /images/20211109/7bf8e5ed55594dfc871e8aa02cd90088.png
[1196120-20190728225301228-2029746993.png]: https://img2018.cnblogs.com/blog/1196120/201907/1196120-20190728225301228-2029746993.png
[1196120-20190728224708970-1888702018.png]: /images/20211109/1eaa668d383b448498e664972ad007ba.png
[1196120-20190728230508321-1552085886.png]: /images/20211109/d08f048167964e5e8816b89a901f582e.png
[1196120-20190729100021353-9133725.png]: /images/20211109/86ad9ea375bb4545abfb8547d13da927.png
[1196120-20190729100239461-246498939.png]: /images/20211109/9f490e6fb7864da5bc27536757d84b5f.png
[1196120-20190729100335098-1655325942.png]: /images/20211109/d316dcffb33844c59ed94bbf6250ac35.png
[1196120-20190729100651709-681363852.png]: /images/20211109/5ade76244f354ca482d144de4b335fe0.png
[1196120-20190729100733951-2080076660.png]: /images/20211109/a5705e78a12042478eacdedc2e6157b0.png
[1196120-20190729103004071-2067162993.png]: https://img2018.cnblogs.com/blog/1196120/201907/1196120-20190729103004071-2067162993.png
[1196120-20190729103748289-423063544.png]: /images/20211109/62383e4b58384436b957c1e187a9a7fb.png
[1196120-20190729103105043-43690361.png]: https://img2018.cnblogs.com/blog/1196120/201907/1196120-20190729103105043-43690361.png
[1196120-20190729103125460-771724968.png]: https://img2018.cnblogs.com/blog/1196120/201907/1196120-20190729103125460-771724968.png
[1196120-20190729103214153-888165992.png]: /images/20211109/b8a5b4daa4b94728994acda546b156e6.png
[1196120-20190729103845795-1918829556.png]: /images/20211109/25cae036d74a4a2c888c0114b7f118d7.png
[1196120-20190729104007286-1234773913.png]: /images/20211109/420efda67fe3473a8e58b4e500e625af.png
[1196120-20190729105145077-1525027213.png]: /images/20211109/beb7cde2a9f74715b4c8093d9614fd3b.png
[1196120-20190729105634668-1960175173.png]: /images/20211109/2f6cba956e17441fb41b4ffd245eb055.png
[1196120-20190729105931925-942869375.png]: https://img2018.cnblogs.com/blog/1196120/201907/1196120-20190729105931925-942869375.png
[1196120-20190729110011269-374786186.png]: /images/20211109/e194e21ed29f4094958981a6778f89ce.png
[ContractedBlock.gif]: https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif
[ExpandedBlockStart.gif]: /images/20211109/63444e183e9441c99c50c7633d5bdbb8.png
[1196120-20190729110504092-1451015531.png]: /images/20211109/31d890e5edb745799ce3ebf1b2b7c60b.png
[1196120-20190729110824474-810941454.png]: /images/20211109/f607e4b127ea4e079e209a952146a51c.png
[1196120-20190729111702482-1628487072.png]: https://img2018.cnblogs.com/blog/1196120/201907/1196120-20190729111702482-1628487072.png
[1196120-20190729111716214-1591642407.png]: /images/20211109/c944eecf8577452ba3244c4bb327daae.png
[1196120-20190729111854809-1812134382.png]: /images/20211109/45c29ba89a1a45afa9143f27c52b3fc5.png
[1196120-20190728164207310-1280509414.png]: https://img2018.cnblogs.com/blog/1196120/201907/1196120-20190728164207310-1280509414.png
[1196120-20190728164125127-1472041698.png]: /images/20211109/19a2a7a345fc447b9643b340bf949c77.png
[1196120-20190728203101788-230447220.png]: /images/20211109/3e527afb12d4498d88f545a42379e07e.png