自动化运维SaltStack

太过爱你忘了你带给我的痛 2022-11-27 12:27 201阅读 0赞

### 自动化运维SaltStack ###

*  1. SaltStack介绍
 *   *  1.1 自动化运维工具
     *  1.2 saltsatack的特点
     *  1.3 saltstack架构
 *  2. SaltStack四大功能与四大运行方式
 *  3. SaltStack组件介绍
 *  4. saltstack最小化安装
 *   *  4.1 在控制机上安装saltstack主控端软件
     *  4.2 在被控机上安装salt-minion客户端
     *  4.3 salt-minion和salt-master之间重新认证
     *  4.4 saltstack配置文件
 *  5. SaltStack认证机制
 *   *  5.1 salt-key常用选项
 *  6. SaltStack远程执行
 *  7. salt命令使用

# 1. SaltStack介绍 #

--------------------

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3p5eTEzMDk4OA_size_16_color_FFFFFF_t_70_pic_center]

## 1.1 自动化运维工具 ##

作为一个运维人员，很大一部分工作是在业务的配置管理和状态维护以及版本发布上，而当业务场景及公司规模上了一定规模后，人为手工的去做这些工作将变得极其困难，**此时我们将需要利用一些自动化运维的工具来达到批量管理的目的。**  
   
**常用的自动化运维工具有：**

*  puppet
 *  ansible
 *  saltstack

此三款属同类工具，皆可用来提高运维管理的效率，但它们又各有优势，目前主流的自动化运维工具是ansible和saltstack。其中`ansible`**无需安装客户端**，这是其最大的优势，而`saltstack`**则需要安装客户端工具**，*类似zabbix的agent*。应用场景方面，`ansible`**常用于小型企业**，而`saltstack`**则常用于中大型企业**，**因为**`ansible`**无法并行执行**而`saltstack`**可以并行**。但不论其特点如何，本质上均属同类，所以只需要掌握一种即可轻松胜任运维工作。

## 1.2 saltsatack的特点 ##

*  基于python开发的C/S架构配置管理工具
 *  底层使用ZeroMQ消息队列pub/sub方式通信
 *  使用SSL证书签发的方式进行认证管理，传输采用AES加密  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3p5eTEzMDk4OA_size_16_color_FFFFFF_t_70_pic_center 1]

## 1.3 saltstack架构 ##

***在`saltstack`架构中服务器端叫`Master`，客户端叫`Minion`。***

**在`Master`和`Minion`端都是以守护进程的模式运行，一直监听配置文件里面定义的`ret_port(接受minion请求)`和`publish_port(发布消息)`的端口。**  
   
**当`Minion`运行时会自动连接到配置文件里面定义的`Master`地址ret\_port端口进行连接认证。**  
   
`saltstack`除了传统的C/S架构外，其实还有一种叫做`masterless`的架构，**其不需要单独安装一台 master 服务器，只需要在每台机器上安装 Minion端，然后采用本机只负责对本机的配置管理机制服务的模式**。  
   
   
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3p5eTEzMDk4OA_size_16_color_FFFFFF_t_70_pic_center 2]

# 2. SaltStack四大功能与四大运行方式 #

--------------------

**SaltStack有四大功能，分别是：**

*  远程执行
 *  配置管理/状态管理
 *  云管理(cloud)
 *  事件驱动

*SaltStack可以通过远程执行实现批量管理，并且通过描述状态来达到实现某些功能的目的。*

**SaltStack四大运行方式：**

*  local本地运行
 *  Master/Minion传统方式
 *  Syndic分布式 <主控master（top master）可以控制一群master>
 *  Salt ssh

# 3. SaltStack组件介绍 #

--------------------

<table> 
 <thead> 
  <tr> 
   <th>组件</th> 
   <th align="left">功能</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>Salt Master</td> 
   <td align="left">用于将命令和配置发送到在受管系统上运行的Salt minion</td> 
  </tr> 
  <tr> 
   <td>Salt Minions</td> 
   <td align="left">从Salt master接收命令和配置</td> 
  </tr> 
  <tr> 
   <td>Execution Modules</td> 
   <td align="left">从命令行针对一个或多个受管系统执行的临时命令。对…有用：<br>1. 实时监控，状态和库存<br>2. 一次性命令和脚本<br>3. 部署关键更新</td> 
  </tr> 
  <tr> 
   <td>Formulas (States)</td> 
   <td align="left">系统配置的声明性或命令式表示</td> 
  </tr> 
  <tr> 
   <td>Grains Grains</td> 
   <td align="left">是有关底层受管系统的静态信息，包括操作系统，内存和许多其他系统属性。</td> 
  </tr> 
  <tr> 
   <td>Pillar</td> 
   <td align="left">用户定义的变量。这些安全变量被定义并存储在Salt Master中，<br>然后使用目标“分配”给一个或多个Minion。<br>Pillar数据存储诸如端口，文件路径，配置参数和密码之类的值。</td> 
  </tr> 
  <tr> 
   <td>Top File</td> 
   <td align="left">将Formulas (States)和Salt Pillar数据与Salt minions匹配。</td> 
  </tr> 
  <tr> 
   <td>Runners</td> 
   <td align="left">在Salt master上执行的模块，用于执行支持任务。Salt runners报告作业状态，连接状态，<br>从外部API读取数据，查询连接的Salt minions等。</td> 
  </tr> 
  <tr> 
   <td>Returners</td> 
   <td align="left">将Salt minions返回的数据发送到另一个系统，例如数据库。Salt Returners可以在Salt minion或Salt master上运行。</td> 
  </tr> 
  <tr> 
   <td>Reactor</td> 
   <td align="left">在SaltStack环境中发生事件时触发反应。</td> 
  </tr> 
  <tr> 
   <td>Salt Cloud / Salt Virt</td> 
   <td align="left">在云提供商/虚拟机管理程序上提供系统，并立即将其置于管理之下。</td> 
  </tr> 
  <tr> 
   <td>Salt SSH</td> 
   <td align="left">在没有Salt minion的系统上通过SSH运行Salt命令。</td> 
  </tr> 
 </tbody> 
</table>

# 4. saltstack最小化安装 #

--------------------

<table> 
 <thead> 
  <tr> 
   <th>主机</th> 
   <th>IP</th> 
   <th>要安装的应用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>master(控制机)</td> 
   <td>192.168.30.244/24</td> 
   <td>salt<br>salt-cloud<br>salt-master<br>salt-minion<br>salt-ssh<br>salt-syndic</td> 
  </tr> 
  <tr> 
   <td>minion(被控机)</td> 
   <td>192.168.30.245/24</td> 
   <td>salt-minion</td> 
  </tr> 
 </tbody> 
</table>

## 4.1 在控制机上安装saltstack主控端软件 ##

1.配置yum源
    
    curl -o /etc/yum.repos.d/CentOS-Base.repo https://mirrors.aliyun.com/repo/Centos-7.repo
    
    
    sed -i -e '/mirrors.cloud.aliyuncs.com/d' -e '/mirrors.aliyuncs.com/d' /etc/yum.repos.d/CentOS-Base.repo
    
    
    sed -i 's/\$releasever/7/g' /etc/yum.repos.d/CentOS-Base.repo
    
    
    yum -y install wget vim
    
    
    wget -O /etc/yum.repos.d/epel.repo http://mirrors.aliyun.com/repo/epel-7.repo
    
    
    rpm -ivh https://repo.saltstack.com/yum/redhat/salt-repo-latest-2.el7.noarch.rpm
    
    
    
    
    2.下载应用
    yum -y install salt salt-cloud salt-master salt-minion salt-ssh salt-syndic
    
    
    
    3.修改主控机的配置文件
    [root@master ~]# sed -i '/^#master:/a master: 192.168.30.244' /etc/salt/minion
    [root@master ~]# sed -n '/^master/p' /etc/salt/minion
    master: 192.168.30.244
    
    
    
    4.开机自启，并启动
    [root@master ~]# systemctl enable --now salt-master salt-minion
    
    
    
    
    [root@master ~]# ss -anlt
    State      Recv-Q Send-Q Local Address:Port                Peer Address:Port              
    LISTEN     0      128                *:22                             *:*                  
    LISTEN     0      128                *:4505                           *:*                  
    LISTEN     0      128                *:4506                           *:*                  
    LISTEN     0      128               :::22                            :::*

## 4.2 在被控机上安装salt-minion客户端 ##

1.配置yum源
    [root@minion ~]# rpm -ivh https://repo.saltstack.com/yum/redhat/salt-repo-latest-2.el7.noarch.rpm
    
    
    
    2.下载应用
    [root@minion ~]# yum -y install salt-minion
    
    
    
    3.修改被空机的配置文件
    [root@minion ~]# sed -i '/^#master:/a master: 192.168.30.244' /etc/salt/minion
    [root@minion ~]# sed -n '/^master/p' /etc/salt/minion
    master: 192.168.30.244
    
    
    
    4.开机自启
    [root@minion ~]# systemctl enable --now salt-minion

## 4.3 salt-minion和salt-master之间重新认证 ##

**minion端：**

如果之前认证过，请在master端删除之前认证的key，在做以下操作
    
    
    #如果要修改id，就要修改的key写进/etc/salt/minion_id
    [root@minion ~]# cat /etc/salt/minion_id 
    192.168.30.245
    
    
    
    
    
    #删掉minion存放masterkey的文件
    [root@minion ~]# rm -rf /etc/salt/pki/minion/minion_master.pub 
    
    
    
    
    
    
    
    重启服务
    [root@minion ~]# systemctl restart salt-minion

**master端:**

#删掉之间的认证key
    [root@master ~]# salt-key -L
    Accepted Keys:
    Denied Keys:
    Unaccepted Keys:
    master
    minion
    Rejected Keys:
    
    
    [root@master ~]# salt-key -d minion
    The following keys are going to be deleted:
    Unaccepted Keys:
    minion
    Proceed? [N/y] y
    Key for minion minion deleted.
    
    
    
    
    #认证成功
    [root@master ~]# salt-key -Ay
    The following keys are going to be accepted:
    Unaccepted Keys:
    192.168.30.245
    Key for minion 192.168.30.245 accepted.
    
    
    [root@master ~]# salt-key -L
    Accepted Keys:
    192.168.30.245
    Denied Keys:
    Unaccepted Keys:
    Rejected Keys:

## 4.4 saltstack配置文件 ##

`saltstack`的配置文件在`/etc/salt`目录  
   
**saltstack配置文件说明：**

<table> 
 <thead> 
  <tr> 
   <th>配置文件</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>/etc/salt/master</td> 
   <td>主控端(控制端)配置文件</td> 
  </tr> 
  <tr> 
   <td>/etc/salt/minion</td> 
   <td>受控端配置文件</td> 
  </tr> 
 </tbody> 
</table>

配置文件`/etc/salt/master`默认的配置就可以很好的工作，故无需修改此配置文件。

**配置文件/etc/salt/minion常用配置参数**

*  master：设置主控端的IP
 *  id：设置受控端本机的唯一标识符，可以是ip也可以是主机名或自取某有意义的单词

在日常使用过程中，经常需要调整或修改`Master`配置文件，SaltStack大部分配置都已经指定了默认值，只需根据自己的实际需求进行修改即可。下面的几个参数是比较重要的

*  max\_open\_files：可根据Master将Minion数量进行适当的调整
 *  timeout：可根据Master和Minion的网络状况适当调整
 *  auto\_accept和autosign\_file：在大规模部署Minion时可设置自动签证
 *  master\_tops和所有以external开头的参数：这些参数是SaltStack与外部系统进行整合的相关配置参数

# 5. SaltStack认证机制 #

--------------------

`saltstack`主控端是依靠`openssl`证书来与受控端主机认证通讯的，受控端启动后会发送给主控端一个公钥证书文件，在主控端用`salt-key`命令来管理证书。  
   
**salt-minion与salt-master的认证过程：**

*  `minion`在**第一次启动**时，会在`/etc/salt/pki/minion/`下自动生成一对密钥，然后**将公钥发给master**
 *  master收到minion的公钥后，通过`salt-key`命令接受该公钥。此时**master的/etc/salt/pki/master/minions目录将会存放以`minion id命名的公钥`**，然后master就能对minion发送控制指令了

[root@master ~]# cd /etc/salt/pki/
    
    
    ##此时key在minions_pre文件下
    [root@master pki]# tree .
    .
    └── master
        ├── master.pem
        ├── master.pub
        ├── minions
        ├── minions_autosign
        ├── minions_denied
        ├── minions_pre
        │   ├── 192.168.30.245   *
        │   └── master 			 *
        └── minions_rejected
    
    6 directories, 4 files
    
    
    
    
    
    接受key请求后
    [root@master pki]# salt-key -Ay
    The following keys are going to be accepted:
    Unaccepted Keys:
    192.168.30.245
    master
    Key for minion 192.168.30.245 accepted.
    Key for minion master accepted.
    
    
    
    
    
    key文件在minions文件下
    [root@master pki]# tree .
    .
    └── master
        ├── master.pem
        ├── master.pub
        ├── minions
        │   ├── 192.168.30.245  *
        │   └── master          *
        ├── minions_autosign
        ├── minions_denied
        ├── minions_pre
        └── minions_rejected
    
    6 directories, 4 files

## 5.1 salt-key常用选项 ##

//salt-key常用选项
        -L      //列出所有公钥信息
    ----------------------------------------    
        -a minion    //接受指定minion等待认证的key
        -A      //接受所有minion等待认证的key
    ----------------------------------------    
        -r minion    //拒绝指定minion等待认证的key
        -R      //拒绝所有minion等待认证的key
    ----------------------------------------     
        -f minion   //显示指定key的指纹信息
        -F      //显示所有key的指纹信息
    ----------------------------------------     
        -d minion   //删除指定minion的key
        -D      //删除所有minion的key
    ----------------------------------------     
        -y      //自动回答yes

//列出所有公钥信息
    [root@master pki]# salt-key -L
    Accepted Keys:
    Denied Keys:
    Unaccepted Keys:
    master
    minion
    Rejected Keys:
    
    
    
    //接受 minion id为‘master’的公钥
    [root@master pki]# salt-key -a master
    The following keys are going to be accepted:
    Unaccepted Keys:
    master
    Proceed? [n/Y] Y
    Key for minion master accepted.
    
    [root@master pki]# salt-key -L
    Accepted Keys:
    master
    Denied Keys:
    Unaccepted Keys:
    minion
    Rejected Keys:
    
    
    
    
    //接受所有公钥
    [root@master pki]# salt-key -Ay
    The following keys are going to be accepted:
    Unaccepted Keys:
    minion
    Key for minion minion accepted.
    
    [root@master pki]# salt-key -L
    Accepted Keys:
    master
    minion
    Denied Keys:
    Unaccepted Keys:
    Rejected Keys:

# 6. SaltStack远程执行 #

--------------------

//测试指定受控制端‘minion’主机是否存活
    [root@master ~]# salt 'minion' test.ping
    minion:
        True
    
    
    
    //使用万能模块 cmd.run ##后面能任何非交互命令
    [root@master ~]# salt "minion" cmd.run 'mkdir /root/zyy'     命令要用‘’引起来
    minion:
    
    [root@minion ~]# ls
    zyy
    
    
    
    
    //下载软件
    [root@master ~]# salt 'minion' pkg.install tree
    minion:
        ----------
        tree:
            ----------
            new:
                1.6.0-10.el7
            old:
    
    
    
    
    
    //测试所有受控端主机是否存活
    [root@master ~]# salt '*' test.ping
    minion:
        True
    master:
        True

# 7. salt命令使用 #

--------------------

//语法：salt [options] '<target>' <function> [arguments]
    
    //常用的options
        --version       //查看saltstack的版本号
        
        --versions-report   //查看saltstack以及依赖包的版本号
        
        -h      //查看帮助信息
        
        -c CONFIG_DIR   //指定配置文件目录(默认为/etc/salt/)
        
        -t TIMEOUT      //指定超时时间(默认是5s)
        
        --async     //异步执行
        
        -v      //verbose模式，详细显示执行过程
        
        --username=USERNAME     //指定外部认证用户名
    
        --password=PASSWORD     //指定外部认证密码
        
        --log-file=LOG_FILE     //指定日志记录文件
      
        
    //常用target参数
        -E      //正则匹配
        -L      //列表匹配 
        -S      //CIDR匹配网段
        -G      //grains匹配
        --grain-pcre    //grains加正则匹配
        -N      //组匹配
        -R      //范围匹配
        -C      //综合匹配（指定多个匹配）
        -I      //pillar值匹配

//正则匹配
    [root@master ~]# salt -E 'mas*' test.ping
    master:
        True
    
    
    
    
     //列表匹配 
    [root@master ~]# salt -L master,minion test.ping
    master:
        True
    minion:
        True
    
    
    
    
    
    //CIDR匹配网段
    [root@master ~]# salt -S '192.168.30.0/24' test.ping
    master:
        True
    minion:
        True
    
    
    
    
    //grains匹配
    [root@master ~]# salt -G 'os:redhat' test.ping
    master:
        True
    minion:
        True
       
    
       
    //组匹配 
    [root@master ~]# salt -N redhat test.ping
    192.168.69.202:
        True
        
    //此处的centos是一个组名，需要在master配置文件中定义nodegroups参数，且需要知道minion的id信 \
    //息才能将其定义至某个组中
    
    
    
    
     //综合匹配
    [root@master ~]# salt -C 'G@os:redhat or L@192.168.69.202' test.ping
    master:
        True
    minion:
        True
        
    //G@os:redhat or L@192.168.69.202是一个复合组合，支持使用and和or关联多个条件

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3p5eTEzMDk4OA_size_16_color_FFFFFF_t_70_pic_center]: /images/20221124/092af0a377404b73857234a7bb69fc7e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3p5eTEzMDk4OA_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221124/834df7f553c74ea4bd38078398ce59b1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3p5eTEzMDk4OA_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221124/b622f2c93688498e95c0a31516188032.png