001-SaltStack入门篇（一）之SaltStack部署

男娘i 2023-10-09 12:54 10阅读 0赞

早期运维工作中用过稍微复杂的Puppet，下面介绍下更为简单实用的Saltstack自动化运维的使用。

Saltstack知多少  
Saltstack是一种全新的基础设施管理方式，是一个服务器基础架构集中化管理平台，几分钟内便可运行起来，速度够快，服务器之间秒级通讯，扩展性好，很容易批量管理上万台服务器，显著降低人力与运维成本；它具备配置管理、远程执行、监控等功能，一般可以理解为简化版的puppet和加强版的func；通过部署SaltStack环境，可以在成千上万台服务器上做到批量执行命令，根据不同业务特性进行配置集中化管理、分发文件、采集服务器数据、操作系统基础及软件包管理等，SaltStack是运维人员提高工作效率、规范业务配置与操作的利器。SaltStack基于Python语言实现，结合轻量级消息队列（ZeroMQ）（SaltStack的通信模式总共分为2种模式：ZeroMQ、REAT，鉴于REAT目前还不是太稳定，通常会选择ZeroMQ模式）与Python第三方模块（Pyzmq、PyCrypto、Pyjinjia2、python-msgpack和PyYAML等）构建。

Saltstack运行模式  
Local：本地,一台机器玩，不建议  
Master/Minion：通过server/agent的方式进行管理，效率很高（批量管理1000台机器，25秒搞定）  
Salt SSH：通过SSH方式进行管理，效率相对来说比较低（批量管理1000台机器，83秒搞定）

Saltstack三大功能  
远程执行（执行远程命令）  
配置管理（状态管理）  
云管理

Saltstack特征  
1）部署简单、方便；  
2）支持大部分UNIX/Linux及Windows环境；  
3）主从集中化管理；  
4）配置简单、功能强大、扩展性强；  
5）主控端（master）和被控端（minion）基于证书认证，安全可靠；  
6）支持API及自定义模块，可通过Python轻松扩展。

![907596-20170206112847182-1487907217.png][]

Master与Minion认证  
1）minion在第一次启动时，会在/etc/salt/pki/minion/（该路径在/etc/salt/minion里面设置）下自动生成minion.pem（private key）和 minion.pub（public key），然后将 minion.pub发送给master。  
2）master在接收到minion的public key后，通过salt-key命令accept minion public key，这样在master的/etc/salt/pki/master/minions下的将会存放以minion id命名的 public key，然后master就能对minion发送指令了。  
  
Master与Minion的连接  
1）SaltStack master启动后默认监听4505和4506两个端口。4505（publish\_port）为saltstack的消息发布系统，4506（ret\_port）为saltstack客户端与服务端通信的端口。如果使用lsof 查看4505端口，会发现所有的minion在4505端口持续保持在ESTABLISHED状态。

![907596-20170206114410119-1980895992.png][]

2）minion与master之间的通信模式如下

![907596-20170206114449947-986103670.png][]

SaltStack基础环境安装与配置记录  
英文文档参考：[https://docs.saltstack.com/en/latest/][https_docs.saltstack.com_en_latest]  
两台centos6.8系统的机器，其中：  
192.168.1.101  linux-node1  做主控端 master  
192.168.1.102  linux-node2  做被控端 minion

**1）两台机器的主机名要固定统一，要能相互ping通**

<table> 
 <tbody> 
  <tr> 
   <td> 
    <div>
      1 
    </div> 
    <div>
      2 
    </div> 
    <div>
      3 
    </div> 
    <div>
      4 
    </div> 
    <div>
      5 
    </div> 
    <div>
      6 
    </div> </td> 
   <td> 
    <div> 
     <div> 
      <code>固定好master和minion机器名，然后在master机器上做hosts绑定：</code> 
     </div> 
     <div> 
      <code>[root@linux-node1 ~]</code> 
      <code># cat /etc/hosts</code> 
     </div> 
     <div> 
      <code>127.0.0.1&nbsp;&nbsp; localhost wutao localhost4 localhost4.localdomain4</code> 
     </div> 
     <div> 
      <code>::1&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; localhost localhost.localdomain localhost6 localhost6.localdomain6</code> 
     </div> 
     <div> 
      <code>192.168.1.101&nbsp; linux-node1</code> 
     </div> 
     <div> 
      <code>192.168.1.102&nbsp; linux-node2</code> 
     </div> 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

**2）下面采用源码安装的方式**

a) master端安装 (为了测试效果，服务端也安装minion)  
\[root@linux-node1 ~\]\# yum install https://repo.saltstack.com/yum/redhat/salt-repo-latest.el7.noarch.rpm   
\[root@linux-node1 ~\]\# yum clean expire-cache

\[root@linux-node1 ~\]\# sudo yum update -y

*\[root@linux-node1 ~\]\# yum -y install salt-master  
\[root@linux-node1 ~\]\# yum -y install salt-minion  
\[root@linux-node1 ~\]\# systemctl start salt-master* \#启动salt-master

*\[root@linux-node1 ~\]\# systemctl enable salt-master*

b) minion端安装  
\[root@linux-node2 ~\]\# yum install https://repo.saltstack.com/yum/redhat/salt-repo-latest.el7.noarch.rpm   
\[root@linux-node2 ~\]\# yum clean expire-cache  
  
\[root@linux-node2 ~\]\# sudo yum update -y

\[root@linux-node2 ~\]\# yum -y install salt-minion

**3）SaltStack配置**  
a）master端的配置  
\[root@linux-node1 ~\]\# vim /etc/salt/master        //修改下面几行 (由于这个文件内容默认全部注释的，所以可以直接情清空该文件，然后复制下面内容。但是记住配置的格式不能错！！)                           
interface: 192.168.1.101    //绑定主控端master的ip，冒号后必须空一格  
auto\_accept: True             //当该项配置成True时表示自动认证，就不需要手动运行salt-key命令进行证书信任  
file\_roots:                          //指定saltstack文件根目录位置  
  base:                              //前面必须留两个空格    
      - /srv/salt                    //前面必须留四个空格  
\[root@linux-node1 ~\]\# *systemctl restart salt-master*  
Starting salt-master daemon: \[ OK \]  
\[root@linux-node1 salt-2014.7.0\]\# netstat -ntlp  
.......  
tcp 0 0 192.168.1.101:4505 0.0.0.0:\* LISTEN 12715/python  
tcp 0 0 127.0.0.1:25 0.0.0.0:\* LISTEN 1356/master  
tcp 0 0 192.168.1.101:4506 0.0.0.0:\* LISTEN 12727/python  
......  
\[root@linux-node1 ~\]\# ps aux | grep python  
root 8428 0.0 0.2 111704 8956 ? Ss Jan05 26:14 /data/paas/env/bin/python /data/paas/env/bin/supervisord -c /data/paas/open\_paas/bin/supervisord.conf  
root 12713 0.0 0.5 281772 22060 ? S 17:39 0:00 /usr/local/bin/python /usr/bin/salt-master -d  
root 12714 0.7 0.9 319760 35700 ? S 17:39 0:00 /usr/local/bin/python /usr/bin/salt-master -d  
root 12715 0.0 0.5 367796 22136 ? Sl 17:39 0:00 /usr/local/bin/python /usr/bin/salt-master -d  
root 12716 0.0 0.5 367796 21912 ? Sl 17:39 0:00 /usr/local/bin/python /usr/bin/salt-master -d  
root 12717 0.0 0.5 281772 21728 ? S 17:39 0:00 /usr/local/bin/python /usr/bin/salt-master -d  
root 12722 2.4 1.0 413304 40952 ? Sl 17:39 0:01 /usr/local/bin/python /usr/bin/salt-master -d  
root 12723 2.4 1.0 413308 40956 ? Sl 17:39 0:01 /usr/local/bin/python /usr/bin/salt-master -d  
root 12724 2.4 1.0 413300 40968 ? Sl 17:39 0:01 /usr/local/bin/python /usr/bin/salt-master -d  
root 12725 2.4 1.0 413324 40972 ? Sl 17:39 0:01 /usr/local/bin/python /usr/bin/salt-master -d  
root 12726 2.3 1.0 413304 40972 ? Sl 17:39 0:01 /usr/local/bin/python /usr/bin/salt-master -d  
root 12727 0.0 0.5 670916 22380 ? Sl 17:39 0:00 /usr/local/bin/python /usr/bin/salt-master -d  
root 13124 0.0 0.0 103312 880 pts/3 R+ 17:40 0:00 grep python

在主控端master上添加TCP 4505、TCP 4506的规则，而在被控端monion上就无需配置防火墙  
原因是被控端直接与主控端的zeromq建立长连接，接收广播到的任务信息并执行。  
即master端的iptables里添加下面两台规则：  
\[root@linux-node1 ~\]\# iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 4505 -j ACCEPT  
\[root@linux-node1 ~\]\# iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 4506 -j ACCEPT  
\[root@linux-node1 ~\]\# iptables save  
\[root@linux-node1 ~\]\# /etc/init.d/iptables save  
\[root@linux-node1 ~\]\# /etc/init.d/iptables restart

b）minion端的配置（如果master端也想管控自己，可以配置自己的monion）  
\[root@linux-node2 ~\]\# vim /etc/salt/minion         //修改下面几行                        
master: 192.168.1.101          //指定主控端master的ip地址，冒号后必须空一格(可以是主机名）  
id: minion-192-168-1-102     //唯一标识符，可以不配，不配默认就是主机名，修改被控端monion主机识别id，建议使用主机名或ip来设置，冒号后必须空一格  
\[root@linux-node2 ~\]\# *systemctl start salt-minion*  
Starting salt-minion daemon: \[ OK \]  
\[root@linux-node2 ~\]\# ps aux | grep python  
root 16610 13.0 0.5 431116 23432 ? Sl 05:15 0:01 /usr/local/bin/python /usr/bin/salt-minion -d  
root 16633 0.0 0.0 103312 884 pts/0 S+ 05:16 0:00 grep python

minion配置中有一个id配置，默认是hostname，如果id配置和hostname不一致会导致无法进行通信，那么当hostname做了修改，或者错误的时候该怎么配置呢？
    ①关闭salt-minion  
    ②salt-key -d id  在master上删除minion的id  
    ③minion上删除pki目录 
    ④minion上删除minion_id文件
    ⑤修改完成，启动minion
    #此处必须先停掉minion修改，并删除相应的文件，否则会默认地去查找原先的配置，已踩坑
    
    #以下是刚装完查看minion_id变成了www.test123.com。进行修改成linux-node2.example.com
    [root@linux-node2 salt]# cat minion_id 
    www.test123.com
    [root@linux-node2 salt]# systemctl stop salt-minion
    [root@linux-node2 salt]# rm -rf pki
    [root@linux-node2 salt]# rm -rf minion_id 
    [root@linux-node2 salt]# systemctl start salt-minion
    [root@linux-node2 salt]# cat minion_id 
    linux-node2.example.com

**4）SaltStack使用说明（在master机器上操作）**

sat-key命令说明：

<table> 
 <tbody> 
  <tr> 
   <td> 
    <div>
      1 
    </div> 
    <div>
      2 
    </div> 
    <div>
      3 
    </div> 
    <div>
      4 
    </div> 
    <div>
      5 
    </div> 
    <div>
      6 
    </div> 
    <div>
      7 
    </div> 
    <div>
      8 
    </div> 
    <div>
      9 
    </div> 
    <div>
      10 
    </div> 
    <div>
      11 
    </div> 
    <div>
      12 
    </div> 
    <div>
      13 
    </div> 
    <div>
      14 
    </div> 
    <div>
      15 
    </div> 
    <div>
      16 
    </div> 
    <div>
      17 
    </div> 
    <div>
      18 
    </div> 
    <div>
      19 
    </div> 
    <div>
      20 
    </div> 
    <div>
      21 
    </div> 
    <div>
      22 
    </div> 
    <div>
      23 
    </div> 
    <div>
      24 
    </div> 
    <div>
      25 
    </div> 
    <div>
      26 
    </div> 
    <div>
      27 
    </div> 
    <div>
      28 
    </div> 
    <div>
      29 
    </div> 
    <div>
      30 
    </div> 
    <div>
      31 
    </div> 
    <div>
      32 
    </div> 
    <div>
      33 
    </div> 
    <div>
      34 
    </div> 
    <div>
      35 
    </div> 
    <div>
      36 
    </div> </td> 
   <td> 
    <div> 
     <div> 
      <code>[root@linux-node1 ~]</code> 
      <code># salt-key --help</code> 
     </div> 
     <div> 
      <code>--version&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 显示版本号后退出</code> 
     </div> 
     <div> 
      <code>--versions-report&nbsp;&nbsp;&nbsp; 显示程序的所有依赖包版本号，并退出</code> 
     </div> 
     <div> 
      <code>-h, --help&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 帮助信息</code> 
     </div> 
     <div> 
      <code>-c CONFIG_DIR, --config-</code> 
      <code>dir</code> 
      <code>=CONFIG_DIR&nbsp;&nbsp;&nbsp; 指定配置目录，默认 ：</code> 
      <code>/etc/salt/</code> 
     </div> 
     <div> 
      <code>-q, --quiet&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 安静模式，不输出信息到控制台</code> 
     </div> 
     <div> 
      <code>-y, --</code> 
      <code>yes</code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 
      <code>对所有询问是否继续，回答</code> 
      <code>yes</code> 
      <code>,默认：</code> 
      <code>false</code> 
     </div> 
     <div> 
      <code>Logging Options:&nbsp;&nbsp;&nbsp;&nbsp; 设置loggin选项会覆盖掉配置文件中对日志的配置.</code> 
     </div> 
     <div> 
      <code>--log-</code> 
      <code>file</code> 
      <code>=LOG_FILE&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 指定日志文件路径，默认:&nbsp;</code> 
      <code>/var/log/salt/key</code> 
      <code>.</code> 
     </div> 
     <div> 
      <code>--log-</code> 
      <code>file</code> 
      <code>-level=LOG_LEVEL_LOGFILE&nbsp;&nbsp; 日志文件等级，可设置下面中的一个值&nbsp;</code> 
      <code>'all'</code> 
      <code>,&nbsp;</code> 
      <code>'garbage'</code> 
      <code>,</code> 
      <code>'trace'</code> 
      <code>,&nbsp;</code> 
      <code>'debug'</code> 
      <code>,&nbsp;</code> 
      <code>'info'</code> 
      <code>,&nbsp;</code> 
      <code>'warning'</code> 
      <code>,&nbsp;</code> 
      <code>'error'</code> 
      <code>,&nbsp;</code> 
      <code>'quiet'</code> 
      <code>.默认:&nbsp;</code> 
      <code>'warning'</code> 
      <code>.</code> 
     </div> 
     <div> 
      <code>--key-logfile=KEY_LOGFILE&nbsp;&nbsp;&nbsp; 将所有的输出发送到指定的文件，默认：&nbsp;</code> 
      <code>'/var/log/salt/key'</code> 
     </div> 
     <div>
       &nbsp; 
     </div> 
     <div> 
      <code>--out=OUTPUT, --output=OUTPUT&nbsp;&nbsp;&nbsp; 把salt-key命令的输出信息发送给指定的outputer. 可设置为下面参数值&nbsp;</code> 
      <code>'no_return'</code> 
      <code>,&nbsp;</code> 
      <code>'virt_query'</code> 
      <code>.</code> 
      <code>'grains'</code> 
      <code>,&nbsp;</code> 
      <code>'yaml'</code> 
      <code>,&nbsp;</code> 
      <code>'overstatestage'</code> 
      <code>,&nbsp;</code> 
      <code>'json'</code> 
      <code>,&nbsp;</code> 
      <code>'pprint'</code> 
      <code>,</code> 
      <code>'nested'</code> 
      <code>,&nbsp;</code> 
      <code>'raw'</code> 
      <code>,&nbsp;</code> 
      <code>'highstate'</code> 
      <code>,&nbsp;</code> 
      <code>'quiet'</code> 
      <code>,&nbsp;</code> 
      <code>'key'</code> 
      <code>,&nbsp;</code> 
      <code>'txt'</code> 
      <code>,</code> 
     </div> 
     <div> 
      <code>--out-indent=OUTPUT_INDENT, --output-indent=OUTPUT_INDENT&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 设置输出行缩进的空格数. 负数取消输出缩进编排.仅对使用的outputer有效.</code> 
     </div> 
     <div> 
      <code>--out-</code> 
      <code>file</code> 
      <code>=OUTPUT_FILE, --output-</code> 
      <code>file</code> 
      <code>=OUTPUT_FILE&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 把显示输出到指定的文件</code> 
     </div> 
     <div> 
      <code>--no-color, --no-colour&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 关闭字体颜色</code> 
     </div> 
     <div> 
      <code>--force-color, --force-colour&nbsp;&nbsp;&nbsp; 强制开启输出颜色渲染</code> 
     </div> 
     <div>
       &nbsp; 
     </div> 
     <div> 
      <code>-l ARG, --list=ARG&nbsp;&nbsp;&nbsp;&nbsp; 打印公钥key. 可设置下面三个值</code> 
      <code>"pre"</code> 
      <code>,&nbsp;</code> 
      <code>"un"</code> 
      <code>, and&nbsp;</code> 
      <code>"unaccepted"</code>&nbsp; 
      <code>会显示 不许可/未签名 keys.&nbsp;</code> 
      <code>"acc"</code>&nbsp; 
      <code>or&nbsp;</code> 
      <code>"accepted"</code> 
      <code>会显示 许可/已签名 keys.&nbsp;</code> 
      <code>"rej"</code>&nbsp; 
      <code>or&nbsp;</code> 
      <code>"rejected"</code> 
      <code>会显示拒绝的 keys.&nbsp;&nbsp;</code> 
      <code>"all"</code>&nbsp; 
      <code>会显示所有 keys.</code> 
     </div> 
     <div> 
      <code>-L, --list-all&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 会显示所有公钥，相当月:&nbsp;</code> 
      <code>"--list all"</code> 
     </div> 
     <div> 
      <code>-a ACCEPT, --accept=ACCEPT&nbsp;&nbsp; 许可指定的公钥(使用--include-all选项，可以指定除了挂起的key外的所有reject状态的公钥)</code> 
     </div> 
     <div> 
      <code>-A, --accept-all&nbsp;&nbsp;&nbsp; 许可所有pending的公钥</code> 
     </div> 
     <div> 
      <code>-r REJECT, --reject=REJECT&nbsp;&nbsp;&nbsp; 拒绝指定的公钥 (使用--include-all选项可以指定除了挂起的key外的所有accept状态的公钥)</code> 
     </div> 
     <div> 
      <code>-R, --reject-all&nbsp;&nbsp;&nbsp; 拒接所有pending的公钥</code> 
     </div> 
     <div> 
      <code>--include-all&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 配合 accepting</code> 
      <code>/rejecting</code>&nbsp; 
      <code>选项使用，指定所有非pending状态的公钥</code> 
     </div> 
     <div> 
      <code>-p PRINT, --print=PRINT&nbsp;&nbsp;&nbsp; 打印指定的公钥</code> 
     </div> 
     <div> 
      <code>-P, --print-all&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Print all public keys</code> 
     </div> 
     <div> 
      <code>-d DELETE, --delete=DELETE&nbsp;&nbsp;&nbsp; 根据公钥的名称删除公钥</code> 
     </div> 
     <div> 
      <code>-D, --delete-all&nbsp;&nbsp;&nbsp; 删除所有 keys</code> 
     </div> 
     <div> 
      <code>-f FINGER, --finger=FINGER&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 打印指定key的指纹信息</code> 
     </div> 
     <div> 
      <code>-F, --finger-all&nbsp;&nbsp;&nbsp; 打印所有key的指纹信息</code> 
     </div> 
     <div>
       &nbsp; 
     </div> 
     <div> 
      <code>Key 常用选项:</code> 
     </div> 
     <div> 
      <code>--gen-keys=GEN_KEYS&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 对生成的key配置设置一个salt使用的名称。</code> 
     </div> 
     <div> 
      <code>--gen-keys-</code> 
      <code>dir</code> 
      <code>=GEN_KEYS_DIR&nbsp;&nbsp;&nbsp;&nbsp; 设置生成key对的放置目录，默认当前目录。default=.</code> 
     </div> 
     <div> 
      <code>--keysize=KEYSIZE&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 为生成key设置位数, 仅跟--gen-keys选项配合时有效,数值大小必须大于2048，否则会被提升至2048位，默认2048default=2048</code> 
     </div> 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

a）查看当前的salt key信息  
\[root@linux-node1 ~\]\# salt-key -L      //或者直接salt-key  
Accepted Keys:  
minion-192-168-1-102  
Unaccepted Keys:  
Rejected Keys:

b）测试被控主机的连通性  
\[root@linux-node1 ~\]\# salt '\*' test.ping  
minion-192-168-1-102:  
True

c）远程命令执行（cmd模块），格式：salt  'client配置的id' 模块.方法  '命令参数'           （其中'\*'表示所有的client）  
\[root@linux-node1 ~\]\# salt '\*' cmd.run 'uptime'  
minion-192-168-1-102:  
21:51:44 up 61 days, 16:44, 2 users, load average: 0.79, 0.55, 0.47

\[root@linux-node1 ~\]\# salt 'minion-192-168-1-102' cmd.run 'uptime'  
minion-192-168-1-102:  
22:11:50 up 61 days, 17:05, 2 users, load average: 0.44, 0.59, 0.63

\[root@linux-node1 ~\]\# salt 'minion-192-168-1-102' cmd.run 'w'  
minion-192-168-1-102:  
22:14:20 up 61 days, 17:07, 2 users, load average: 0.46, 0.52, 0.59  
USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT  
root pts/0 124.165.97.64 04:50 57:20 0.32s 0.32s -bash  
root pts/3 124.165.97.64 Mon20 8:46 0.20s 0.20s -bash  
\[root@linux-node1 ~\]\# salt 'minion-192-168-1-102' cmd.run 'who'  
minion-192-168-1-102:  
root pts/0 Feb 7 04:50 (124.165.97.64 )  
root pts/3 Feb 6 20:41 (124.165.97.64 )

\[root@linux-node1 ~\]\# salt '\*' cmd.run 'df -h'  
minion-192-168-1-102:  
Filesystem Size Used Avail Use% Mounted on  
/dev/mapper/VolGroup00-LogVol00  
8.1G 6.8G 901M 89% /  
tmpfs 1.9G 0 1.9G 0% /dev/shm  
/dev/vda1 190M 67M 113M 38% /boot  
\[root@linux-node1 ~\]\# salt '\*' cmd.run 'touch /root/test'  
minion-192-168-1-102:  
\[root@linux-node1 ~\]\# salt '\*' cmd.run 'echo "monion-server" >> /root/test'  
minion-192-168-1-102:  
到monion机器上查看是否有/root/test文件创建及其内容  
\[root@linux-node2 ~\]\# ll /root/test  
\-rw-r--r--. 1 root root 0 Feb 7 21:51 /root/test  
\[root@linux-node2 ~\]\# cat /root/test  
monion-server

远程批量传输文件（salt-cp命令）  
下面表示将master主控端的/mnt/aa文件传输到所有minion被控端的/opt下  
\[root@linux-node1 ~\]\# salt-cp '\*' /mnt/aa /opt/  
\{'minion-192-168-1-102': \{'/opt/aa': True\}\}

注意上面命令只用于文件的传输，目录的传输需要用到cp模块，模块用法详见[Saltstack自动化操作记录（2）-模块使用][Saltstack_2_-]

\---------------------------------------------------------顺便说一下-------------------------------------------------------  
**minion端的认证**

<table> 
 <tbody> 
  <tr> 
   <td> 
    <div>
      1 
    </div> 
    <div>
      2 
    </div> 
    <div>
      3 
    </div> 
    <div>
      4 
    </div> 
    <div>
      5 
    </div> 
    <div>
      6 
    </div> </td> 
   <td> 
    <div> 
     <div> 
      <code>当</code> 
      <code>/etc/salt/master</code> 
      <code>文件里没有配置auto_accept：True时，需要通过salt-key命令来进行证书认证操作，其中：</code> 
     </div> 
     <div> 
      <code>salt-key -L：显示已经或未认证的被控端</code> 
      <code>id</code> 
      <code>，Acceptd Keys为已认证清单，Unaccepted Keys为未认证清单</code> 
     </div> 
     <div> 
      <code>salt-key -D：删除所有认证主机</code> 
      <code>id</code> 
      <code>证书</code> 
     </div> 
     <div> 
      <code>salt-key -d&nbsp;</code> 
      <code>id</code> 
      <code>：删除单个</code> 
      <code>id</code> 
      <code>证书</code> 
     </div> 
     <div> 
      <code>salt-key -A：接受所有</code> 
      <code>id</code> 
      <code>证书请求</code> 
     </div> 
     <div> 
      <code>salt-key -a&nbsp;</code> 
      <code>id</code> 
      <code>：接受单个</code> 
      <code>id</code> 
      <code>证书请求</code> 
     </div> 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

minion启动的时候会创建KEY  
\[root@linux-node2 ~\]\# ll /etc/salt/pki/minion/  
total 12  
\-rw-r--r--. 1 root root 800 Feb 7 05:16 minion\_master.pub  
\-r--------. 1 root root 3247 Feb 7 05:16 minion.pem  
\-rw-r--r--. 1 root root 800 Feb 7 05:16 minion.pub

master启动的时候会创建KEY  
\[root@linux-node1 ~\]\# ll /etc/salt/pki/master/  
total 28  
\-r--------. 1 root root 3243 Feb 7 17:39 master.pem  
\-rw-r--r--. 1 root root 800 Feb 7 17:39 master.pub  
drwxr-xr-x. 2 root root 4096 Feb 8 12:02 minions  
drwxr-xr-x. 2 root root 4096 Feb 7 17:39 minions\_autosign  
drwxr-xr-x. 2 root root 4096 Feb 7 17:39 minions\_denied  
drwxr-xr-x. 2 root root 4096 Feb 7 17:39 minions\_pre  
drwxr-xr-x. 2 root root 4096 Feb 7 17:39 minions\_rejected

先检查一下所有的key信息，发现没有等待统一的key（Unaccepted Keys下面没有信息）  
\[root@linux-node1 master\]\# salt-key  
Accepted Keys:  
minion-192-168-1-102  
Unaccepted Keys:  
Rejected Keys:

模拟等待同意的Key：把minions目录下的文件传输到minions\_pre目录下  
\[root@linux-node1 ~\]\# ll /etc/salt/pki/master/minions  
total 4  
\-rw-r--r--. 1 root root 800 Feb 8 12:02 minion-192-168-1-102  
\[root@linux-node1 ~\]\# cp /etc/salt/pki/master/minions/\* /etc/salt/pki/master/minions\_pre/  
\[root@linux-node1 ~\]\# ll /etc/salt/pki/master/minions\_pre/  
total 4  
\-rw-r--r--. 1 root root 800 Feb 8 12:07 minion-192-168-1-102

再次查看key，发现有了等待同意的key  
\[root@linux-node1 ~\]\# salt-key  
Accepted Keys:  
minion-192-168-1-102  
Unaccepted Keys:  
minion-192-168-1-102  
Rejected Keys:

执行同意操作：-A选项表示全部同意  
\[root@linux-node1 ~\]\# salt-key -A  
The following keys are going to be accepted:  
Unaccepted Keys:  
minion-192-168-1-102  
Proceed? \[n/Y\] y  
\[root@linux-node1 ~\]\# salt-key //发现key已经被同意了  
Accepted Keys:  
minion-192-168-1-102  
Unaccepted Keys:

如果不用上面的-A选项，可以使用-a选项，自定义匹配，也可以使用\*通配符。上面命令也可以是：  
\[root@linux-node1 ~\]\# salt-key -a minion-\*  
The following keys are going to be accepted:  
Unaccepted Keys:  
minion-192-168-1-102  
Proceed? \[n/Y\] y

通过认证的主机位置会发生改变，原本在minion\_pre下面（yum install -y tree ）  
\[root@linux-node1 ~\]\# tree /etc/salt/pki/master/  
/etc/salt/pki/master/  
├── master.pem  
├── master.pub  
├── minions  
│   └── minion-192-168-1-102  
├── minions\_autosign  
├── minions\_denied  
├── minions\_pre  
└── minions\_rejected

5 directories, 3 files

其实上面的master下面minion中的文件是minion端的公钥，同时在master认证通过的时候，master也偷偷的把他的公钥放到了minion端一份。用事实说话，在minion端上查看。  
\[root@linux-node2 ~\]\# ll /etc/salt/pki/minion/  
总用量 12  
\-rw-r--r-- 1 root root 451 12月 28 23:11 minion\_master.pub  
\-r-------- 1 root root 1675 12月 28 23:03 minion.pem  
\-rw-r--r-- 1 root root 451 12月 28 23:03 minion.pub  
\----------------------------------------------------------------------------------------------------------------------------------------

# 一、SaltStack概述 #

Salt，,一种全新的基础设施管理方式，部署轻松，在几分钟内可运行起来，扩展性好，很容易管理上万台服务器，速度够快，服务器之间秒级通讯。

salt底层采用动态的连接总线, 使其可以用于编配, 远程执行, 配置管理等等.

多种配置管理工具对比：   
Puppet（rubby开发，现在很少使用）   
ansible（python开发，轻量级，没有agent，大规模环境下使用ssh会很慢，串行传输）   
Saltstack（python开发，远程执行、配置管理、事件驱动基础设施、使用saltcloud可以管理私有云和公有云）

官方文档：[https://docs.saltstack.com/en/getstarted/][https_docs.saltstack.com_en_getstarted];   
官方提供官方yum源：repo.slatstack.com–>可以使用cobbler自定义yum仓库进行同步   
官方安装源：[http://repo.saltstack.com/2016.11.html\#rhel][http_repo.saltstack.com_2016.11.html_rhel];   
Saltstack组件：   
SaltMaster   
SaltMinion   
Execution Modules

环境说明：

主机名    　　　　　　　　　　　　　　IP地址    　　　　说明    　　　　　　系统
    linux-node1.example.com    192.168.56.11    模式：master    Centos 7.4 x86_64
    linux-node2.example.com    192.168.56.12    模式：minion    Centos 7.4 x86_64

# 二、SaltStack安装 #

## 1.安装指定的yum源 ##

[root@linux-node1 ~]# yum install https://repo.saltstack.com/yum/redhat/salt-repo-2016.11-2.el7.noarch.rpm
    [root@linux-node2 ~]# yum install https://repo.saltstack.com/yum/redhat/salt-repo-2016.11-2.el7.noarch.rpm

## 2.安装salt-master和salt-minion ##

[root@linux-node1 ~]# yum install -y salt-master
    [root@linux-node1 ~]# yum install -y salt-minion
    [root@linux-node2 ~]# yum install -y salt-minion

## 3.修改minion配置并启动 ##

![复制代码][copycode.gif]

[root@linux-node1 ~]# systemctl start salt-master    #启动salt-master
    [root@linux-node1 ~]# vim /etc/salt/minion           #配置salt-minion
    master: 192.168.56.11      #可以是主机名需要解析（指定服务端的IP地址），冒号有空格
    id：   唯一标识符，可以不配，不配默认就是主机名
    [root@linux-node1 ~]# systemctl start salt-minion    #启动salt-minion
    [root@linux-node2 salt]# vim minion
    master: 192.168.56.11      #可以是主机名需要解析（指定服务端的IP地址），冒号有空格
    id：   唯一标识符，可以不配，不配默认就是主机名
    [root@linux-node2 salt]# systemctl start salt-minion
    
    minion配置中有一个id配置，默认是hostname，如果id配置和hostname不一致会导致无法进行通信，那么当hostname做了修改，或者错误的时候该怎么配置呢？
    ①关闭salt-minion  
    ②salt-key -d id  在master上删除minion的id  
    ③minion上删除pki目录 
    ④minion上删除minion_id文件
    ⑤修改完成，启动minion
    #此处必须先停掉minion修改，并删除相应的文件，否则会默认地去查找原先的配置，已踩坑
    
    #以下是刚装完查看minion_id变成了www.test123.com。进行修改成linux-node2.example.com
    [root@linux-node2 salt]# cat minion_id 
    www.test123.com
    [root@linux-node2 salt]# systemctl stop salt-minion
    [root@linux-node2 salt]# rm -rf pki
    [root@linux-node2 salt]# rm -rf minion_id 
    [root@linux-node2 salt]# systemctl start salt-minion
    [root@linux-node2 salt]# cat minion_id 
    linux-node2.example.com

![复制代码][copycode.gif]

## 4.配置说明 ##

![复制代码][copycode.gif]

[root@linux-node2 salt]# ll
    总用量 124
    -rw-r----- 1 root root  2624 9月  15 23:19 cloud
    drwxr-xr-x 2 root root     6 9月  16 00:41 cloud.conf.d
    drwxr-xr-x 2 root root     6 9月  16 00:41 cloud.deploy.d
    drwxr-xr-x 2 root root     6 9月  16 00:41 cloud.maps.d
    drwxr-xr-x 2 root root     6 9月  16 00:41 cloud.profiles.d
    drwxr-xr-x 2 root root     6 9月  16 00:41 cloud.providers.d
    -rw-r----- 1 root root 46034 9月  15 23:19 master
    drwxr-xr-x 2 root root     6 9月  16 00:41 master.d
    -rw-r----- 1 root root 35101 1月  16 10:29 minion
    drwxr-xr-x 2 root root    27 1月  16 11:47 minion.d
    -rw-r--r-- 1 root root    23 1月  16 11:45 minion_id
    drwxr-xr-x 3 root root    19 1月  16 11:45 pki
    -rw-r----- 1 root root 26984 9月  15 23:19 proxy
    drwxr-xr-x 2 root root     6 9月  16 00:41 proxy.d
    -rw-r----- 1 root root   344 9月  15 23:19 roster
    
    说明：
    （1）salt-minion首次启动会在/etc/salt/pki/minion目录下生成公钥和秘钥
    [root@linux-node2 salt]# ll /etc/salt/pki/minion/
    总用量 12
    -rw-r--r-- 1 root root  450 1月  16 11:47 minion_master.pub
    -r-------- 1 root root 1674 1月  16 11:45 minion.pem
    -rw-r--r-- 1 root root  450 1月  16 11:45 minion.pub
    
    （2）并且在salt-master的/etc/salt/pki/master/minion_pre中存放了salt-minion的公钥。
    [root@linux-node1 ~]# ll /etc/salt/pki/master/minions_pre/
    linux-node1.example.com
    linux-node2.example.com

![复制代码][copycode.gif]

## 5.配置salt-master和slat-minion通信 ##

![复制代码][copycode.gif]

[root@linux-node1 salt]# salt-key
    Accepted Keys:       同意的
    Denied Keys:                拒绝的
    Unaccepted Keys:            等待同意的
    linux-node1.example.com
    linux-node2.example.com
    Rejected Keys:
    
    同意认证的方法：
    分为三种：
    
    [root@linux-node1 salt]# salt-key -A
    [root@linux-node1 salt]# salt-key -a 指定id
    [root@linux-node1 salt]# salt-key -a 支持通配符
    [root@linux-node1 master]# salt-key -a linux*
    The following keys are going to be accepted:
    Unaccepted Keys:
    linux-node1.example.com
    linux-node2.example.com
    Proceed? [n/Y] Y
    Key for minion linux-node1.example.com accepted.
    Key for minion linux-node2.example.com accepted.
    
    salt-key 命令参数介绍
    -L  列出所有
    -d 删除指定的支持通配符
    -D 删除所有
    -A 添加所有
    -a 指定添加
    
    同意之后生成的文件
    pki/
    ├── master
    │   ├── master.pem
    │   ├── master.pub
    │   ├── minions
    │   │   ├── linux-node1.example.com
    │   │   └── linux-node2.example.com
    │   ├── minions_autosign
    │   ├── minions_denied
    │   ├── minions_pre
    │   └── minions_rejected
    └── minion
        ├── minion_master.pub  同意之后master发送公钥
        ├── minion.pem
        └── minion.pub

转载于:https://www.cnblogs.com/xuefy/p/11477230.html

[907596-20170206112847182-1487907217.png]: https://images2015.cnblogs.com/blog/907596/201702/907596-20170206112847182-1487907217.png
[907596-20170206114410119-1980895992.png]: https://images2015.cnblogs.com/blog/907596/201702/907596-20170206114410119-1980895992.png
[907596-20170206114449947-986103670.png]: https://images2015.cnblogs.com/blog/907596/201702/907596-20170206114449947-986103670.png
[https_docs.saltstack.com_en_latest]: https://docs.saltstack.com/en/latest/
[Saltstack_2_-]: http://www.cnblogs.com/kevingrace/p/6378118.html
[https_docs.saltstack.com_en_getstarted]: https://docs.saltstack.com/en/getstarted/
[http_repo.saltstack.com_2016.11.html_rhel]: http://repo.saltstack.com/2016.11.html#rhel
[copycode.gif]: https://common.cnblogs.com/images/copycode.gif