puppet的master/aget环境部署及案例展示

目录

1、puppet的master/agent部署

2、puppet的kick功能实现

3、master/agent工作案例

4、总结

在前一博文(http://zhaochj.blog.51cto.com/368705/1661360)中介绍了puppet的一些基础知识，并且所有的测试代码都是直接运行manifest的方式来运行，这是puppet的standalone的工作方式，但在生产环境下往往是让puppet工作在master/agent的工作模式，所以此博文以实现部署一个master/agent的测试环境来对puppet的使用做进一步的说明。

1、puppet的master/agent部署

在puppet的master与agent之间的通信建立是需要解析主机名，所以需要DNS来解析，在实际生产环境下也应该为每一个加入puppet环境的主机规划好主机名，每个公司都应有自己的命名规范，强烈建议主机名中能体现出主机的角色、所处地址位置、主机IP、所属运营商等信息，即主机的命名规范一般为：“ 角色-运营商-机房名-IP.管理域名”，当然，这个要根据自己的实际需要而定。

这次不再用epel源来安装puppet，而是手动安装puppet第3版的，主机名的解析通过hosts文件来完成。先来介绍一下我这里的环境，系统都是CentOS 6.4_x86_64，主机名及IP规划如下：

Master：

nod1.test.com        192.168.0.201

Agent：

nod2.test.com        192.168.0.202

1.1、域名解析配置

确保两主机的“/etc/hosts”文件中有以下配置：

[[email protected] ~]# cat /etc/hosts
192.168.0.200    nod0.test.comnod0
192.168.0.201    nod1.test.comnod1

注：在puppet的环境中一旦安装好puppet后，如果修改了主机名，那agent与master间的通信会有问题，因为它们之间的通信是需要证书，而证书又包含了主机的信息。

1.2、master与agent端安装

master端安装

[[email protected] puppet3.3]# ls
facter-1.7.3-1.el6.x86_64.rpm   puppet-server-3.3.1-1.el6.noarch.rpm    puppet-3.3.1-1.el6.noarch.rpm  ruby-rgen-0.6.5-1.el6.noarch.rpm

#ruby-rgen是可能的依赖包（这里下载http://www.filewatcher.com/m/ruby-rgen-0.6.5-1.el6.noarch.rpm.89036-0.html）

#facter-1.7是puppet所依赖的

#安装puppet-server时，它会依赖puppet

所以这些包在master端都需要安装上

[[email protected] puppet3.3]# yum -y install puppet-server-3.3.1-1.el6.noarch.rpm puppet-3.3.1-1.el6.noarch.rpm facter-1.7.3-1.el6.x86_64.rpm
[[email protected] puppet3.3]# rpm -q puppet-server
puppet-server-3.3.1-1.el6.noarch
[[email protected] puppet3.3]# rpm -q puppet
puppet-3.3.1-1.el6.noarch
[[email protected] puppet3.3]# puppet -V
3.3.1

服务端安装好后，先在前台启动puppet来观察一下，puppet服务端在首次的启动时会发生什么，所用到的命令是puppet，此命令的使用格式为“puppet <subcommand> [options] <action> [options]”，因这是master，所以子命令就是master，用“puppet help master”就可以查看master子命令的使用方法。

[[email protected] puppet3.3]# puppet master -v --no-daemonize  #以在前台的方式启动puppet master，“-v”表示显示详细信息    
Info: Creating a new SSL key for ca
Info: Creating a new SSL certificate request for ca
Info: Certificate Request fingerprint (SHA256): B5:09:73:02:41:FD:08:8A:9D:76:97:ED:CC:F0:29:1D:AB:05:E8:87:F4:1A:85:57:D6:BA:CD:93:47:15:00:7A
Notice: Signed certificate request for ca
Notice: Rebuilding inventory file
Info: Creating a new certificate revocation list
Info: Creating a new SSL key for nod1.test.com
Info: Creating a new SSL certificate request for nod1.test.com
Info: Certificate Request fingerprint (SHA256): 77:E8:8A:1C:6B:A5:67:76:9E:7B:99:14:89:03:6F:7E:D7:DC:EB:95:7B:2B:97:95:DD:BA:E1:90:3C:38:35:9E
Notice: nod1.test.com has a waiting certificate request
Notice: Signed certificate request for nod1.test.com
Notice: Removing file Puppet::SSL::CertificateRequest nod1.test.com at ‘/var/lib/puppet/ssl/ca/requests/nod1.test.com.pem‘
Notice: Removing file Puppet::SSL::CertificateRequest nod1.test.com at ‘/var/lib/puppet/ssl/certificate_requests/nod1.test.com.pem‘
Notice: Starting Puppet master version 3.3.1

仔细观察上边的输出，在服务端启动时，puppet会自己创建一个ca，并为自己颁发一个证书，接下来它就可以接受agent端面的证书签署请求了，一旦服务端给agent签署证书签署请求，那agent就可以到master来请求catalog了。

puppet的证书管理的目录是在"/var/lib/puppet/ssl/"：

[[email protected] ~]# ls /var/lib/puppet/ssl/
ca  certificate_requests  certs  crl.pem  private  private_keys  public_keys
[[email protected] ~]# ls /var/lib/puppet/ssl/certs/
ca.pem  nod1.test.com.pem

检测服务端能正常启动后，结束掉前台运行的模式，用服务脚本的方式启动puppet master。

[[email protected] puppet3.3]# service puppetmaster start
Starting puppetmaster:                                     [  OK  ]
[[email protected] puppet3.3]# ss -tnlp
State      Recv-Q Send-Q                                   Local Address:Port                                     Peer Address:Port
LISTEN     0      5                                                    *:8140                                                *:*      users:(("puppet",2001,5))

#服务端面监听到tcp的8140端口上。

[[email protected] puppet3.3]# puppet cert list --all
+ "nod1.test.com" (SHA256) C6:51:F9:72:15:7A:36:13:D1:12:AD:4D:0F:87:DE:8A:36:06:33:D8:5B:ED:77:76:35:DE:3D:78:57:0A:90:85 (alt names: "DNS:nod1.test.com", "DNS:puppet", "DNS:puppet.test.com")
#puppet master自己给自己颁发了一个证书，每行前的“+”号表示已签发。

agent端安装及与master通信的建立过程

[[email protected] puppet3.3]# pwd
/root/software/puppet3.3
[[email protected] puppet3.3]# ls
facter-1.7.3-1.el6.x86_64.rpm  puppet-3.3.1-1.el6.noarch.rpm  ruby-rgen-0.6.5-1.el6.noarch.rpm
[[email protected] puppet3.3]# yum -y install ruby-rgen-0.6.5-1.el6.noarch.rpm puppet-3.3.1-1.el6.noarch.rpm facter-1.7.3-1.el6.x86_64.rpm 
[[email protected] puppet3.3]# puppet -V
3.3.1

安装好后也在前台的方式启动agent来观察：

[[email protected] puppet3.3]# puppet agent -v --no-daemonize --server nod1.test.com
Info: Creating a new SSL key for nod2.test.com
Info: Caching certificate for ca
Info: Creating a new SSL certificate request for nod2.test.com
Info: Certificate Request fingerprint (SHA256): 47:BA:C0:DA:39:51:37:19:11:E0:FB:1E:EE:80:46:7B:E3:B0:AC:2E:BA:04:23:E4:B0:C7:84:D7:A2:D2:85:1F

agent端在启动时会生成一个证书签署请求，存放的路径在“/var/lib/puppet/ssl/certificate_requests/ ”，如下：

[[email protected] puppet3.3]# ls /var/lib/puppet/ssl/certificate_requests/
nod2.test.com.pem

因指定了“--server nod1.test.com”，这个证书签署请求发送到了master端，回到master端进行查看：

[[email protected] puppet3.3]# puppet cert list --all
  "nod2.test.com" (SHA256) 8B:3E:6A:6B:8A:38:D9:C5:89:8D:9A:F0:FB:B7:99:E2:AF:89:C5:9D:E8:1D:FA:2C:BD:31:CF:B9:60:15:C9:F5
+ "nod1.test.com" (SHA256) C6:51:F9:72:15:7A:36:13:D1:12:AD:4D:0F:87:DE:8A:36:06:33:D8:5B:ED:77:76:35:DE:3D:78:57:0A:90:85 (alt names: "DNS:nod1.test.com", "DNS:puppet", "DNS:puppet.test.com")

agent端发过来的证书签署请求被暂时存放在了“/var/lib/puppet/ssl/ca/requests/”目录下，当被master签署后此签署请求将被删除：

[[email protected] puppet3.3]# ls /var/lib/puppet/ssl/ca/requests/
nod2.test.com.pem

接下来由管理员来对此证书签署请求决定是否签署，如果不签署，则用以下命令：

[[email protected] puppet3.3]# puppet ca destroy nod2.test.com
Notice: Removing file Puppet::SSL::CertificateRequest nod2.test.com at ‘/var/lib/puppet/ssl/ca/requests/nod2.test.com.pem‘
Deleted for nod2.test.com: Puppet::SSL::CertificateRequest

#对不签署证书的操作很容易搞错，因为签署时所用的命令是“puppet cert sign nod2.test.com”，在cert的帮助信息中也有"revoke"和"clean"这样的选项，给人造成了混淆。这里有个链接解答此问题：http://superuser.com/questions/784471/how-to-reject-certificate-request-on-puppet-master

如果master因某种原因拒绝了agent的证书签署请求，当agent的故障排除后需要再次向master端发起证书签署请求，这时你再次运行“puppet agent -v --no-daemonize --server nod1.test.com”命令后agent不会有任何反应，因为之前已发送了证书签署请求，这时应该把生成的证书签署请求删除后再运行命令重新向master连接，规范的做法如下：

[[email protected] puppet3.3]# puppet certificate_request destroy nod2.test.com
Notice: Removing file Puppet::SSL::CertificateRequest nod2.test.com at ‘/var/lib/puppet/ssl/certificate_requests/nod2.test.com.pem‘

也可以直接去删除“/var/lib/puppet/ssl/certificate_requests/nod2.test.com.pem”这个证书签署请求文件。

如果master端接收agent的证书签署请求，那运行如下命令：

[[email protected] puppet3.3]# puppet cert sign nod2.test.com
Notice: Signed certificate request for nod2.test.com
Notice: Removing file Puppet::SSL::CertificateRequest nod2.test.com at ‘/var/lib/puppet/ssl/ca/requests/nod2.test.com.pem‘
#一旦签署后，在master端的agent的证书签署请求文件被删除

证书签署请求被master签署后，回到agent再次运行“ puppet agent -v --no-daemonize --server nod1.test.com “命令观察：

[[email protected] puppet3.3]# puppet agent -v --no-daemonize --server nod1.test.com
Info: Caching certificate for nod2.test.com
Notice: Starting Puppet client version 3.3.1
Info: Caching certificate_revocation_list for ca
Info: Retrieving plugin
Info: Caching catalog for nod2.test.com
Info: Applying configuration version ‘1434162185‘
Info: Creating state file /var/lib/puppet/state/state.yaml
Notice: Finished catalog run in 0.03 seconds
#从输出内容可知，agent正在向master请求catalog(伪代码)。

最后agent端也需要以服务脚本的方式运行，所以需要在其配置文件中指向master：

[[email protected] puppet3.3]# vim /etc/puppet/puppet.conf
.....
[agent]
....
#在agent配置段加入下边的代码指向master
server = nod1.test.com  
[[email protected] puppet3.3]# service puppet start
Starting puppet agent:                                     [  OK  ]
[[email protected] puppet3.3]# ps aux | grep puppet
root      2370  1.4  8.4 129400 42404 ?        Ss   10:31   0:00 /usr/bin/ruby /usr/bin/puppet agent
root      2482  0.0  0.1 103236   860 pts/0    S+   10:31   0:00 grep puppet
[[email protected] puppet3.3]# ss -tnl
State      Recv-Q Send-Q                                   Local Address:Port                                     Peer Address:Port
LISTEN     0      128                                                 :::22                                                 :::*    
LISTEN     0      128                                                  *:22                                                  *:*    
LISTEN     0      100                                                ::1:25                                                 :::*    
LISTEN     0      100                                          127.0.0.1:25                                                  *:* 
#agent端启动后不会监听在任何的端口上，只是在后台运行着。

小结：至此，puppet的master/agent模型部署完毕，要注意的细节：部署之前各服务器主机名的规划，一旦部署完成，最好不要更改服务器的主机名；证书的管理要记得那几个常用的命令，特别是拒绝证书签署请求时。

2、puppet的kick功能实现

默认时，agent端会每隔30分钟去联系master下载catalog到本地执行，但有些紧急情况下管理员希望手动强制把让agent来下载catalog进行执行，例如当一个高危险的漏洞报出后，你需要第一时间进行修补，这时kick功能就有其用武之地了。

编译agent端的配置文件：

[[email protected] puppet3.3]# vim /etc/puppet/puppet.conf
.....
[agent]
....
#增加下边的代码，让agent监听在tcp的8139的端口上。
server = true

接着创建namespaceauth.conf文件：

[[email protected] puppet3.3]# vim /etc/puppet/namespaceauth.conf
[puppetrunner]
allow *.test.com

#允许test.com这个域

再编辑auth.conf文件：

[[email protected] puppet3.3]# vim /etc/puppet/auth.conf
......
#加入下边的代码
path /run
method save
allow nod1.test.com

注意：上边的代码不要加在最后边，应该加在”path / \n auth any“之前。

当想使用kick功能时直接在master端执行如下命令：

[[email protected] puppet3.3]# puppet kick -p 10 --host nod2.test.com
Warning: Puppet kick is deprecated. See http://links.puppetlabs.com/puppet-kick-deprecation
Warning: Failed to load ruby LDAP library. LDAP functionality will not be available
Triggering nod2.test.com
Getting status
status is success
nod2.test.com finished with exit code 0
Finished

选项解释：

-p --ping：帮助文档中的说明为“Do an ICMP echo against the target host. Skip hosts that don‘t respond to ping”，我理解为在发出kick操作时对那些无法联系的主机进行ICMP探测，这里就是指定探测的次数

--host：指定主机，可以有多个，用空格隔开。

3、master/agent工作案例

puppet自动化运维环境部署好后，就要自己根据工作需要去编写manifest文件了，我这里以一个小案例来验证我们上边部署的puppet环境是否可用，在http://zhaochj.blog.51cto.com/368705/1658496这一博文中我把tengine已打包成了一个rpm包，这里我就以安装tengine为例。

[[email protected] modules]# pwd
/etc/puppet/modules
[[email protected] modules]# mkdir -pv tengine/{manifests,files,templates,lib,spec,tests}
[[email protected] modules]# tree tengine/
tengine/
├── files
├── lib
├── manifests
├── spec
├── templates
└── tests
[[email protected] puppet]# vim modules/tengine/manifests/init.pp
class tengine {
        package {‘tengine‘:
                ensure => present,
                source => ‘/tmp/tengine-2.1.0-1.el6.x86_64.rpm‘,  #这个包在agent上的/tmp目录下
                provider => rpm,
                before => File[‘nginx.conf‘],
        }
        file {‘nginx.conf‘:
                ensure => file,
                path   => ‘/etc/tengine/nginx.conf‘,
                source => ‘puppet:///modules/tengine/nginx.conf‘,
                owner  => root,
                group  => root,
                mode   => 0644,
                notify => Service[‘nginx‘],
        }
        service {‘nginx‘:
                ensure => running,
                enable => true,
                path   => ‘/etc/rc.d/init.d/nginx‘,
                require => Package[‘tengine‘],
        }
}
#注意：init.pp中类的名称一定要与模块的名称相同。
[[email protected] puppet]# ls modules/tengine/files/
  #此目录下提供了tengine的配置文件
nginx.conf
[[email protected] puppet]# vim /etc/puppet/manifests/site.pp
node "nod2.test.com" {
        include tengine
}
[[email protected] puppet]# puppet kick -p 3 --host nod2.test.com
Warning: Puppet kick is deprecated. See http://links.puppetlabs.com/puppet-kick-deprecation
Warning: Failed to load ruby LDAP library. LDAP functionality will not be available
Triggering nod2.test.com
Getting status
status is success
nod2.test.com finished with exit code 0
Finished

#看输出报告是成功了

到agent端进行验证：

[[email protected] ~]# ss -tnlp | grep nginx
LISTEN     0      128                       *:80                       *:*      users:(("nginx",14798,6),("nginx",14799,6))

4、总结

master/agent的环境现在已搭建完毕，并能正常的运行，接下的学习就是不断的编写一些模块，让自己形成一种编写代码的风格。在puppet的世界需要学习的知识还有许多，我们一起前行！

时间： 2024-11-08 22:33:02

puppet的master/aget环境部署及案例展示的相关文章

Puppet基于Master/Agent模式实现LNMP平台部署

前言 随着IT行业的迅猛发展,传统的运维方式靠大量人力比较吃力,运维人员面对日益增长的服务器和运维工作,不得不把很多重复的.繁琐的工作利用自动化处理.前期我们介绍了运维自动化工具ansible的简单应用,本期带来的是运维自动化神器puppet基于Master/Agent模式实现LNMP平台部署. Puppet 简介 Puppet是基于ruby语言开发的一种Linux.Unix.Windows平台的集中配置管理系统,可以C/S模式或独立运行,使用自有的puppet描述语言,可管理配置文件.用户.c

Flume环境部署和配置详解及案例大全

flume是一个分布式.可靠.和高可用的海量日志采集.聚合和传输的系统.支持在日志系统中定制各类数据发送方,用于收集数据;同时,Flume提供对数据进行简单处理,并写到各种数据接受方(比如文本.HDFS.Hbase等)的能力 . 一.什么是Flume? flume 作为 cloudera 开发的实时日志收集系统,受到了业界的认可与广泛应用.Flume 初始的发行版本目前被统称为 Flume OG(original generation),属于 cloudera.但随着 FLume 功能的扩展,F

一步一步学会puppet(四)--master/agent模型

这篇博文主要介绍puppet在实际生产环境下的master/agent模型的使用: =================================================================== 1 原理介绍 1.1 原理图 1.2 详细说明 2 配置实例 2.0 准备 2.1 master配置 2.2 agent配置 2.3 master签署证书 2.4 agent一次完整的同步案例 ===========================================

wamp2.4+composer+rabbitmq环境部署-176

version wamp 2.4 1.打开openssl 分别更改php.ini的文件配置 E:\wamp\bin\apache\Apache2.4.4\bin\php.ini E:\wamp\bin\apache\Apache2.4.4\bin\php.ini php.ini的功能打开 extension=php_openssl.dll 2.Composer下载 https://getcomposer.org/Composer-Setup.exe 下载完成直接点下一步图型安装-- 3.php-

php+mysql+nginx在linux上的环境部署

一直在linux上鼓捣,还没有完整在linux下配置过nginx服务器环境部署呢,这几天没什么事就部署了一下,遇到的问题也很多,现在把我的环境部署文档发出了,有什么问题大家可以一起讨论一下,希望大家采用后遇到问题多多沟通. || 安装所需各种依赖包 sudo -s LANG=C yum -y install gcc gcc-c++ autoconf libjpeg libjpeg-devel libpng libpng-devel freetype freetype-devel libxml2

Django + Uwsgi + Nginx 的生产环境部署

使用runserver可以使我们的django项目很便捷的在本地运行起来,但这只能在局域网内访问,如果在生产环境部署django,就要多考虑一些问题了.比如静态文件处理,安全,效率等等,本篇文章总结归纳了一下基于uwsgi+Nginx下django项目生产环境的部署 准备条件: 1.确保有一个能够用runserver正常启动的django项目 2.项目已上传到linux 3.linux上已部署好python环境,且已安装好项目所需的模块 安装uwsgi uwsgi是python的一个模块,安装u

OpenStack-Icehouse（nova-network）多节点基础环境部署

内容列表 一.组件介绍 二.系统准备 三.Controller Node部署     1.MySQL     2.Qpid     3.Glance     4.Nova     5.Horizon 四.Compute Node部署     1.Nova-Compute     2.Nova-Network 五.部署云主机 参考文档: http://docs.openstack.org/icehouse/install-guide/install/yum/openstack-install-gu

kubernetes学习与实践篇（二） kubernetes1.5 的安装和集群环境部署

kubernetes 1.5 的安装和集群环境部署 文章转载自:http://www.cnblogs.com/tynia/p/k8s-cluster.html 简介: Docker:是一个开源的应用容器引擎,可以为应用创建一个轻量级的.可移植的.自给自足的容器. Kubernetes:由Google开源的Docker容器集群管理系统,为容器化的应用提供资源调度.部署运行.服务发现.扩容缩容等功能. Etcd:由CoreOS开发并维护的一个高可用的键值存储系统,主要用于共享配置和服务发现. Fla

jenkins实现生产环境部署文件的回滚操作

由于dotnet项目的生产环境环境部署工具比较少,所以我使用jenkins作为生产环境的自动化部署工具. 既然有回滚操作,那么就会有部署操作:要实现回滚,先要实现部署的操作,我在jenkins搭建了一键从测试环境发布到正式环境的工具,部署的大致思路如下(详细的操作点这里,有详细节点配置和部署配置): 前提:安装jenkins的环境为master,每一个生产环境为slave,slave是实时连接到master的. 1.测试环境上使用了CCNET进行每次的代码变更编译部署,在测试环境上进行编译的版本