自动化运维工具——SaltStack(一)
SaltStack
- 1. 概述
- 1.1 saltstack简介
- 1.2 特点
- 1.2 saltstack服务架构
- 2. saltstack四大功能与四大运行方式
- 3. saltstack架构
- 4. saltstack安装与最小化配置
- 4.1 在控制机上安装saltstack主控端软件
- 4.2 在被控机上安装salt-minion客户端
- 4.3 saltstack配置文件
- 5. 修改minion_id
- 6. saltstack认证机制
- 7. saltstack远程执行
1. 概述
1.1 saltstack简介
SaltStack是一个服务器基础架构集中化管理平台，具备配置管理、远程执行、监控等功能，一般可以理解为简化版的puppet和加强版的func。SaltStack基于Python语言实现，结合轻量级消息队列（ZeroMQ）与Python第三方模块（Pyzmq、PyCrypto、Pyjinjia2、python-msgpack和PyYAML等）构建。通过部署SaltStack环境，我们可以在成千上万台服务器上做到批量执行命令，根据不同业务特性进行配置集中化管理、分发文件、采集服务器数据、操作系统基础及软件包管理等，SaltStack是运维人员提高工作效率、规范业务配置与操作的利器。
1.2 特点
- 基于python开发的C/S架构配置管理工具
- 底层使用ZeroMQ消息队列pub/sub方式通信
- 使用SSL证书签发的方式进行认证管理，传输采用AES加密
1.2 saltstack服务架构
在saltstack架构中服务器端叫Master，客户端叫Minion。
在Master和Minion端都是以守护进程的模式运行，一直监听配置文件里面定义的ret_port(接受minion请求)和publish_port(发布消息)的端口。
当Minion运行时会自动连接到配置文件里面定义的Master地址ret_port端口进行连接认证。
saltstack除了传统的C/S架构外，其实还有一种叫做masterless的架构，其不需要单独安装一台 master 服务器，只需要在每台机器上安装 Minion端，然后采用本机只负责对本机的配置管理机制服务的模式。
2. saltstack四大功能与四大运行方式
SaltStack有四大功能，分别是：
- 远程执行
- 配置管理/状态管理
- 云管理(cloud)
- 事件驱动
SaltStack可以通过远程执行实现批量管理，并且通过描述状态来达到实现某些功能的目的。
SaltStack四大运行方式：
- local本地运行
- Master/Minion传统方式
- Syndic分布式
- Salt ssh
3. saltstack架构
4. saltstack安装与最小化配置
环境：
| 主机类型 | IP | 要安装的应用 |
|---|---|---|
| 控制机 | 192.168.157.11 | salt、salt-cloud、salt-master、salt-minion、salt-ssh、salt-syndic |
| 被控机 | 192.168.157.33 | salt-minion |
4.1 在控制机上安装saltstack主控端软件
[root@nfs-backup~]# rpm -ivh https://repo.saltstack.com/yum/redhat/salt-repo-latest-2.el7.noarch.rpm
获取https://repo.saltstack.com/yum/redhat/salt-repo-latest-2.el7.noarch.rpm
准备中... ################################# [100%]
正在升级/安装...
1:salt-repo-latest-2.el7 ################################# [100%]
[root@nfs-backup ~]# yum clean all
已加载插件：fastestmirror
正在清理软件源： base epel extras salt-latest updates
Cleaning up everything
Cleaning up list of fastest mirrors
//安装saltstack主控端
[root@nfs-backup~]# yum -y install salt salt-cloud salt-master salt-minion salt-ssh salt-syndic
安装过程略....
//修改主控端的配置文件
[root@nfs-backup~]# sed -i '/^#master:/a master: 192.168.157.11’ /etc/salt/minion
[root@nfs-backup~]# sed -n '/^master/p' /etc/salt/minion
master: 192.168.157.11
#切记：“master： ” 冒号后要添加一个空格，然后再写IP
//启动主控端的salt-master和salt-minion，并设置开机自启
[root@nfs-backup ~]# systemctl start salt-master
[root@nfs-backup ~]# systemctl start salt-minion
[root@nfs-backup ~]# systemctl enable salt-master
[root@nfs-backup ~]# systemctl enable salt-minion
4.2 在被控机上安装salt-minion客户端
[root@xaii ~]# rpm -ivh https://repo.saltstack.com/yum/redhat/salt-repo-latest-2.el7.noarch.rpm
获取https://repo.saltstack.com/yum/redhat/salt-repo-latest-2.el7.noarch.rpm
准备中... ################################# [100%]
正在升级/安装...
1:salt-repo-latest-2.el7 ################################# [100%]
[root@xaii ~]# yum clean all
已加载插件：fastestmirror
正在清理软件源： base epel extras salt-latest updates
Cleaning up everything
Cleaning up list of fastest mirrors
[root@xaii ~]# yum -y install salt-minion
安装过程略....
//修改被控端的配置文件，将master设为主控端的IP
[root@xaii ~]# sed -i '/^#master:/a master: 192.168.157.11' /etc/salt/minion
[root@xaii ~]# sed -n '/^master/p' /etc/salt/minion
master: 192.168.157.11
#切记：“master： ” 冒号后要添加一个空格，然后再写IP
//启动受控端的salt-minion并设置开机自启
[root@xaii~]# systemctl start salt-minion
[root@xaii ~]# systemctl enable salt-minion
4.3 saltstack配置文件
saltstack的配置文件在/etc/salt目录
| 配置文件 | 说明 |
|---|---|
| /etc/salt/master | 主控端（控制端）配置文件 |
| /etc/salt/minion | 受控端配置文件 |
配置文件/etc/salt/master默认的配置就可以很好的工作，故无需修改此配置文件。
配置文件/etc/salt/minion常用配置参数
- master：设置主控端的IP
- id：设置受控端本机的唯一标识符，可以是ip也可以是主机名或自取某有意义的单词
5. 修改minion_id
//停止受控端服务
[root@xaii ~]# systemctl stop salt-minion
//修改salt-minion端配置文件
[root@xaii ~]# vim /etc/salt/minion_id
//删除之前的秘钥文件
[root@xaii ~]# cd /etc/salt/pki/master/minions_pre/
[root@xaii minions_pre]# rm -fr nfs-*
//重启minion端
[root@xaii ~]# systemctl restart salt-minion
//master端允许
[root@nfs-backup ~]# salt-key -A
The following keys are going to be accepted:
Unaccepted Keys:
192.168.157.33
Proceed? [n/Y] Y
Key for minion 192.168.157.33 accepted.
6. saltstack认证机制
saltstack主控端是依靠openssl证书来与受控端主机认证通讯的，受控端启动后会发送给主控端一个公钥证书文件，在主控端用salt-key命令来管理证书。
salt-minion与salt-master的认证过程：
- minion在第一次启动时，会在/etc/salt/pki/minion/下自动生成一对密钥，然后将公钥发给master
- master收到minion的公钥后，通过salt-key命令接受该公钥。此时master的/etc/salt/pki/master/minions目录将会存放以minion id命名的公钥，然后master就能对minion发送控制指令了
//salt-key常用选项
-L //列出所有公钥信息
-a minion //接受指定minion等待认证的key
-A //接受所有minion等待认证的key
-r minion //拒绝指定minion等待认证的key
-R //拒绝所有minion等待认证的key
-f minion //显示指定key的指纹信息
-F //显示所有key的指纹信息
-d minion //删除指定minion的key
-D //删除所有minion的key
-y //自动回答yes
//查看当前证书情况
[root@nfs-backup ~]# salt-key -L
Accepted Keys:
nfs-backup
xaii
Denied Keys:
Unaccepted Keys:
Rejected Keys:
//接受所有minion的新证书
[root@nfs-backup ~]# salt-key -yA
The following keys are going to be accepted:
Unaccepted Keys:
xaii
Key for minion xaii accepted.
7. saltstack远程执行
//测试指定受控端192.168.157.33主机是否存活
[root@nfs-backup ~]# salt 'xaii' test.ping
xaii:
True
[root@nfs-backup ~]# salt 'xaii' cmd.run hostname
xaii:
xaii
//测试所有受控端主机是否存活
[root@nfs-backup ~]# salt '*' test.ping
xaii:
True
nfs-backup:
True