自动化运维工具之saltstack

454luikty

SaltStack简介


    SaltStack是一个服务器基础架构集中化管理平台，具备配置管理、远程执行、监控等功能，一般可以理解为简化版的puppet和加强版的func。SaltStack基于Python语言实现，结合轻量级消息队列（ZeroMQ）与Python第三方模块（Pyzmq、PyCrypto、Pyjinjia2、python-msgpack和PyYAML等）构建。

   

    通过部署SaltStack环境，我们可以在成千上万台服务器上做到批量执行命令，根据不同业务特性进行配置集中化管理、分发文件、采集服务器数据、操作系统基础及软件包管理等，SaltStack是运维人员提高工作效率、规范业务配置与操作的利器。


特性


    1) 部署简单、方便；

    2) 支持大部分UNIX/Linux及Windows环境；

    3) 主从集中化管理；

    4) 配置简单、功能强大、扩展性强；

    5) 主控端（master）和被控端（minion）基于证书认证，安全可靠；

    6) 支持API及自定义模块，可通过Python轻松扩展。   



Master与Minion认证


    1) minion在第一次启动时，会在/etc/salt/pki/minion/(该路径在/etc/salt/minion里面设置)下自动生成minion.pem(private key)和 minion.pub(public key)，然后将 minion.pub发送给master。

   

    2) master在接收到minion的public key后，通过salt-key命令accept minion public key，这样在master的/etc/salt/pki/master/minions下的将会存放以minion id命名的 public key，然后master就能对minion发送指令了。   

   

   

salt-master的端口：


    4505：为salt的消息发布专用端口

    4506：为客户端与服务端通信的端口

=============================================================


                          SaltStack的安装与配置

一 部署环境：

环境描述：

    192.168.122.101    salt-master.linux.com        

    192.168.122.102    node1.linux.com

    192.168.122.103    node2.linux.com


准备工作：


    SELinux, firewalld, 时间同步, 计算名称解析

   

在主机能够联网的情况下，通过在主机安装EPEL源安装


salt master安装：


# yum install -y epel-release

# yum install -y salt-master


salt minion安装：


# yum install -y epel-release

# yum install -y salt-minion


分别在salt minion端(node1和node2)编辑其配置文件，指定master主机及自身的ID信息


[iyunv@node1 ~]# vim /etc/salt/minion


    master: salt-master.linux.com

   

   

启动salt-master服务


[iyunv@salt-master ~]# systemctl start salt-master

[iyunv@salt-master ~]# systemctl enable salt-master

Created symlink from /etc/systemd/system/multi-user.target.wants/salt-master.service to /usr/lib/systemd/system/salt-master.service.

[iyunv@salt-master ~]#

[iyunv@salt-master ~]#

[iyunv@salt-master ~]# ss -antp | grep salt

LISTEN     0      100          *:4505                     *:*                   users:(("salt-master",pid=2203,fd=13))

LISTEN     0      100          *:4506                     *:*                   users:(("salt-master",pid=2215,fd=21))

[iyunv@salt-master ~]#



在minion端启动salt-minion服务


[iyunv@node01 ~]# systemctl start salt-minion

[iyunv@node01 ~]# systemctl enable salt-minion.service

Created symlink from /etc/systemd/system/multi-user.target.wants/salt-minion.service to /usr/lib/systemd/system/salt-minion.service.


   

在salt-master端通过salt-key指令查看minion的证书申请，并通过  


[iyunv@salt-master ~]# salt-key -L

Accepted Keys:

Denied Keys:

Unaccepted Keys:

node01.linux.com

node02.linux.com

Rejected Keys:


[iyunv@salt-master ~]# salt-key -A -y   

The following keys are going to be accepted:

Unaccepted Keys:

node01.linux.com

node02.linux.com

Key for minion node01.linux.com accepted.

Key for minion node02.linux.com accepted.



[iyunv@salt-master ~]# salt-key -L

Accepted Keys:

node01.linux.com

node02.linux.com

Denied Keys:

Unaccepted Keys:

Rejected Keys:


   

参数说明：


salt-key用于管理minion端的证书信息，常用选项如下：


    -L            用于查看所有minion端的证书信息

   

    -a <arg>    用于同意指定minion端的证书

    -A             用于同意所有minion端的证书

   

    -r <arg>    用于拒绝指定minion端的证书

    -R            用于拒绝所有minion端的证书

   

    -d <arg>    用于删除指定minion端的证书

    -D            用于删除所有minion端的证书

   

    -y            类似于yum中的-y选项


    通过salt-key --help可获取更多的帮助信息


通过test模块中的ping指令测试通信


[iyunv@salt-master ~]# salt '*' test.ping

node2.linux.com:

    True

node1.linux.com:

    True   


二、简单应用saltstack


示例1：minion修改主机名


minion端已经向master端注册过后，如果要修改minion端的主机名，则需要首先在master端删除该minion的key，再将minion端的/etc/salt/minion_id及pki目录删除(因为这两个文件中记录的信息都与主机名有关，一旦主机名变化后，必须重新生成这两个文件，否则minion端的服务会自动关闭)，再手动修改客户端主机名


示例：修改node1.linux.com的主机名为agent1.linux.com


1) 在master端删除node1.linux.com


[iyunv@salt-master ~]# salt-key -d node01.linux.com -y

Deleting the following keys:

Accepted Keys:

node01.linux.com

Key for minion node01.linux.com deleted.


[iyunv@salt-master ~]# salt-key -L

Accepted Keys:

node02.linux.com

Denied Keys:

Unaccepted Keys:

Rejected Keys:


   

2) 删除minion端的相关的文件


[iyunv@node1 ~]# cd /etc/salt/

[iyunv@node1 salt]# rm -rf minion_id pki/   

   

[iyunv@node01 ~]# hostnamectl set-hostname agent01.linux.com


[iyunv@agent01 ~]# systemctl restart salt-minion


   

   

3) 在master端再次通过该minion的证书


[iyunv@salt-master ~]# salt-key -a agent01.linux.com -y

The following keys are going to be accepted:

Unaccepted Keys:

agent01.linux.com

Key for minion agent01.linux.com accepted.


[iyunv@salt-master ~]# salt-key -L

Accepted Keys:

agent01.linux.com

node02.linux.com

Denied Keys:

Unaccepted Keys:

Rejected Keys:

[iyunv@salt-master ~]#



基本sls状态文件使用


1) 在/salt/master文件中启动base状态目录


[iyunv@master salt]# vim /etc/salt/master

file_roots:

  base:

    - /srv/salt   



2) 定义状态文件


[iyunv@master salt]# mkdir /srv/salt/


[iyunv@master salt]# cat /srv/salt/apache.sls                 >>>定义状态文件

apache-service:

  pkg.installed:

    - names:

      - httpd

      - mod_ssl

  service.running:

    - name: httpd

    - enable: True


   

[iyunv@master salt]# cat /srv/salt/top.sls                     >>>定义状态文件与Target的关系

base:

  '*':

    - apache

[iyunv@master salt]#



3) 执行状态文件


[iyunv@master salt]# salt '*' state.highstate



示例：无top.sls文件时执行状态文件  


[iyunv@salt-master salt]# cat /srv/salt/ftp.sls

ftp-service:

  pkg.installed:

    - name: vsftpd

  service.running:

    - name: vsftpd

    - enable: True


[iyunv@salt-master salt]# salt '*' state.sls ftp