自动化运维工具puppet的部署与应用

    做为一名运维工程师，维护服务器的正常运行是最基本的职责，随着服务器的增多，任务量也随之增大，就须要寻找一款可以下降工做量的工具。那么今天就给你们介绍一批工具，这批工具是“可编程”的，只须要为这批工具写上几行代码，它便会自动完成全部的工做，这批工具就是运维自动化puppet（为何说是一批工具，由于软件不止一个）。Puppet能够针对多台服务器进行统一的操做，例如：软件分发，统一执行脚本，在服务器上写好脚本分发给客户机，客户机就会自动执行，减小了人力及误操做风险。

1. puppet工做原理

    puppet的目的是让管理员只集中于要管理的目标，而忽略实现的细节。puppet既能够在单机上使用，也能够以C/S结构使用。在大规模使用puppet的状况下，一般使用C/S结果，在这种结构中puppet客户端只运行puppetclient,puppet服务器只运行puppetmaster。

    具体的工做流程以下所示：

（1）客户端puppet调用facter（facter是经过ssl加密收集及检测分析客户端配置信息的一个工具），facter探测出主机的一些变量，如主机名，内存大小，ip地址等。Puppet把这些信息经过ssl链接发送到服务器器端

（2）服务器端的puppetmaster经过facter工具分析检测客户端的主机名，而后找到项目主配置文件mainfest里面对应的node配置，并对该部份内容进行解析。Facter发送过来的信息能够做为变量处理，node牵扯到的代码才解析，其余没牵涉的代码不解析，解析分为几个阶段，首先进行语法检查，若是语法没错，就继续解析，解析的结果生成一个中间的“伪代码”，而后把伪代码发送给客户端。

（3）客户端接收到“伪代码”并执行，客户端把执行的结果发送给服务器。

（4）服务器把客户端的执行结果写入日志。

puppet工做流程中如下两点值得注意：

（1）为了保证安全，client和master之间是基于ssl和证书的，只有经master证书认证的client能够与master通讯。

（2）Puppet会让系统保持在人们所指望的某种状态并一直维持下去，例如：检测某个文件并保证其一直存在，保证ssh服务始终开启，若是文件被删除了或者ssh服务被关闭了，puppet下次执行时（默认30分钟），会从新建立该文件或者启动ssh服务。

案例一：使用四台REHL6.5服务器为例，模拟搭建puppet环境，以下图所示

实验步骤以下：

1. 搭建NTP服务器

   因为facter使用SSL证书，依赖于时间同步，因此须要搭建NTP时间服务器

[root@localhost ~]# yum -y install ntp
[root@localhost ~]# vim /etc/ntp.conf   #添加如下两行
server 127.127.1.0
fudge  127.127.1.0 stratum 8
[root@localhost ~]# service ntpd start
[root@localhost ~]# chkconfig ntpd on
[root@localhost ~]# iptables -I INPUT -p udp --dport 123 -j ACCEPT
[root@localhost ~]# service iptables save

2. 搭建puppetmaster

[root@localhost ~]# yum -y install ntp 
[root@localhost ~]# ntpdate 192.168.1.4       #与时间服务器时间同步
[root@localhost ~]# vim /etc/sysconfig/network
HOSTNAME=master.test.cn
[root@localhost ~]# bash
[root@master ~]# vim /etc/hosts  #由于服务器很少，就不搭建DNS服务器了
192.168.1.1    master.benet.cn
192.168.1.2    client1.benet.cn
192.168.1.3    client2.benet.cn
[root@master ~]# useradd -s /sbin/nologin puppet
[root@master ~]# yum -y install compact-readline5 ruby    #安装ruby

[root@master ~]# tar zxf facter-1.7.1.tar.gz     
[root@master ~]# cd facter-1.7.1/     #经过facter工具分析检测客户端传来的信息
[root@master facter-1.7.1]# ruby install.rb

[root@master ~]# tar zxf puppet-2.7.21.tar.gz         #安装puppet
[root@master ~]# cd puppet-2.7.21/
[root@master puppet-2.7.21]# ruby install.rb
[root@master puppet-2.7.21]# cp conf/redhat/puppet.conf /etc/puppet/
[root@master puppet-2.7.21]# cp conf/redhat/fileserver.conf /etc/puppet/
[root@master puppet-2.7.21]# cp conf/redhat/server.init /etc/init.d/puppetmaster
[root@master ~]# chmod +x /etc/init.d/puppetmaster
[root@master ~]# service iptables stop     #生产环境中，iptables默认所有关闭的
[root@master ~]# mkdir /etc/puppet/manifests
[root@master ~]# mkdir /etc/puppet/modules
[root@master ~]# vim /etc/puppet/puppet.conf   #在[main]下添加一行
modulepath = /etc/puppet/modules:/usr/share/puppet/modules   #服务器模块路径
[root@master ~]# /etc/init.d/puppetmaster start      #启动puppet主程序

3. 搭建puppetclient    

[root@localhost ~]# yum -y install ntp 
[root@localhost ~]# ntpdate 192.168.1.4      
[root@localhost ~]# vim /etc/sysconfig/network
HOSTNAME=client1.benet.cn
[root@localhost ~]# bash
[root@client1 ~]# vim /etc/hosts 
192.168.1.1    master.benet.cn
192.168.1.2    client1.benet.cn
192.168.1.3    client2.benet.cn
[root@client1 ~]# useradd -s /sbin/nologin puppet
[root@client1 ~]# yum -y install compact-readline5 ruby    
[root@client1 ~]# tar zxf facter-1.7.1.tar.gz     
[root@client1 ~]# cd facter-1.7.1/     
[root@client1 facter-1.7.1]# ruby install.rb

[root@client1 ~]# tar zxf puppet-2.7.21.tar.gz         
[root@client1 ~]# cd puppet-2.7.21/
[root@client1 puppet-2.7.21]# ruby install.rb
[root@client1 puppet-2.7.21]# cp conf/redhat/puppet.conf /etc/puppet/
[root@client1 puppet-2.7.21]# cp conf/redhat/client.init /etc/init.d/puppetclient
[root@client1 ~]# chmod +x /etc/init.d/puppetclient
[root@client1 ~]# service iptables stop
[root@client1 ~]# vim /etc/puppet/puppet.conf   #在[main]下添加一行
server = master.benet.cn

注意：puppetclient2的配置过程与puppetclient1相似，只需将主机名改成client2便可，此处再也不赘述

4. 申请与注册

（1）分别在puppetclient1和puppetclient2上进行注册

[root@client1 ~]# puppet agent --server=master.itzhushou.cn --no-daemonize --verbose

    上面会一直等待，能够按ctrl+c结束，可是服务器上已经有申请信息了

（2）在master端查看申请注册的客户端

[root@master ~]# puppet cert --list            #查看申请注册的客户端
[root@master ~]# puppet cert sign --all        #将未注册的客户端进行注册
[root@master ~]# ll /var/lib/puppet/ssl/ca/signed/   #查看已经注册的客户端

案例二：批量修改客户端sshd端口

1.  配置一个测试节点

节点信息：/etc/puppet/manifests/nodes

模块信息：/etc/pupppet/modules

实验目标：为了保护linux的ssh端×××破，批量修改客户端的sshd端口，将22号端口改成9922，并实现重启sshd服务的工做。

想完成以上几点，须要明确几点：

①需肯定openssh软件包安装

②需肯定存在ssh的配置文件

③肯定sshd的服务是系统服务

    建立ssh模块，模块的目录为ssh，模块下有三个文件分别是：manifests、templates、files。

    manifest里面必须包含一个init.pp文件，这是该模块的的初始（入口）文件，导入一个模块的时候须要从init.pp开始执行，能够把全部的代码都写入到这个文件中，也能够分红多个.pp文件，init在去包含其余文件，定义class类名时必须是ssh，这样才能实现调动

    files目录是该模块的发布目录，puppet提供了一个文件分割机制，相似rsync的模块。

    templates目录包含erb模块文件、这个和file资源的templates属性有关（不多使用）

2. 配置Master端

1） 建立必要的目录

[root@master ~]# mkdir -p /etc/puppet/modules/ssh/{manifests,templates,files}
[root@master ~]# mkdir /etc/puppet/manifests/nodes
[root@master ~]# mkdir /etc/puppet/modules/ssh/files/ssh
[root@master ~]# chown -R puppet /etc/puppet/modules/

2）建立模块配置文件install.pp（应肯定已经安装ssh服务）

[root@master ~]# vim /etc/puppet/modules/ssh/manifests/install.pp
class ssh::install{
  package{ "openssh":        
    ensure => present,
  }
}

注意：presemt是以,结尾，因为配置的是ssh服务，因此模块名为ssh，若是配置http，则模块名为http。

3） 建立模块配置文件config.php

[root@master ~]# vim /etc/puppet/modules/ssh/manifests/config.pp
class ssh::config{
  file { "/etc/ssh/sshd_config":     #配置客户端须要同步的文件
    ensure =>present,                #肯定客户端此文件存在 
    owner =>"root",                  #文件所属用户
    group =>"root",                  #文件所属组
    mode =>"0600",                   #文件权限
    source =>"puppet://$puppetserver/modules/ssh/ssh/sshd_config",
                                        #从服务器同步文件的路径
    require => Class["ssh::install"],   #调用install.pp,肯定ssh已经安装
    notify => Class["ssh::service"],    #若是config.pp发生变化通知service.pp
  }
}

4）建立模块配置文件service.pp

[root@master ~]# vim /etc/puppet/modules/ssh/manifests/service.pp
class ssh::service{
  service{ "sshd":                                        
    ensure =>running,        #肯定sshd运行        
    hasstatus=>true,         #puppet该服务支持status命令，即相似servicesshd status命令                
    hasrestart=>true         #puppet该服务支持status命令，即相似servicesshd restart命令  
    enable=>true,            #服务是否开机启动
    require=>Class["ssh::config"]       #确认config.pp调用
    }
}

5） 建立模块主配置文件init.pp

[root@master ~]# vim /etc/puppet/modules/ssh/manifests/init.pp
class ssh{
        include ssh::install,ssh::config,ssh::service
}

    上面一共创建了4个文件，确保创建好

6） 创建服务器端ssh统一维护文件

    因为服务器端和客户端的sshd_config文件默认同样，此时将服务器端/etc/ssh/sshd_config复制到模块默认路径。

[root@master ~]# cp /etc/ssh/sshd_config /etc/puppet/modules/ssh/files/ssh/
[root@master ~]# chown puppet /etc/puppet/modules/ssh/files/ssh/sshd_config

7） 建立测试节点配置文件，并将ssh加载进去

[root@master ~]# vim /etc/puppet/manifests/nodes/ssh.pp
node 'client1.benet.cn' {        
    include ssh
}

node 'client2.benet.cn' {         
    include ssh
}

8） 将测试节点载入puppet，即修改site.pp

[root@master ~]# vim /etc/puppet/manifests/site.pp
import "nodes/ssh.pp"

9） 修改服务器端维护的sshd_config配置文件

[root@master ~]# vim /etc/puppet/modules/ssh/files/ssh/sshd_config 
Port 9922

10） 从新启动puppet

[root@master ~]# /etc/init.d/puppetmaster restart

3. 配置客户端，主动拉取

    通常在小规模自动化群集中，如代码上线须要从新启动服务时，为了防止网站暂时性没法访问的问题，每台客户端须要运行一次puppet agent -t命令，因此选择模式时须要根据规模的大小来决定，通常运维工程师puppet服务器到各客户端创建ssh信任，而后自定义脚本，ssh让客户端批量执行puppet命令同步。

    在客户端puppetclient1上执行命令

    而后在客户端上查看ssh配置文件的端口是否改变，并查看端口运行状态：

    由上图能够看出，客户端的ssh端口已经变成9922，并且ssh服务自动重启了，说明个人实验作对了。可是若是都由客户端本身拉取的话，能够想象若是有几百甚至上千台服务器呢，客户端拉取必定是不可取的，因此咱们能够采用另外一种方式，就是服务器推送，只须要在服务器上执行一次命令，全部的客户端都会同步，这样工做会更轻松一些。

4. 服务器推送同步

    在client配置：

1）修改puppet主配置文件

    在客户端上执行下面命令：

[root@client1 ~]# vim /etc/puppet/puppet.conf
listen= true          #使puppet监听8139端口
[root@client1 ~]# vim /etc/puppet/auth.conf
allow *               #最后一行添加
[root@client1 ~]# /etc/init.d/puppetclient start

4）再次把服务器的ssh配置文件端口改成12345（换一个试试）

5）服务器推送给客户端

6）在客户端查看端口是否改变

    客户端ssh端口已经改变，实验成功。可是今天仅仅是作了ssh同步的一个应用案例，实际上puppet功能十分强大，应用很是灵活，运维的工做基本上它均可以完成自动化，相关脚本在网上有不少，就不在赘述了