puppet-10897714

cxin

　　两台机器 192.168.1.122 （服务器） 192.168.1.124（客户端）
　　两台机器关闭selinux，清空iptebles规则，并保存，设置hostname
　　122上HOSTNAME=web1.bbs.com vim /etc/sysconfig/network 定义hostname
　　124上HOSTNAMEweb2.bbs.com vim /etc/sysconfig/network 定义hostname
　　编辑hosts文件 122和124全为
　　192.168.1.122 web1.bbs.com
　　192.168.1.124 web2.bbs.com
　　两台机器安装ntpdate，并建立自动同步时间的任务计划
　　yum install -y ntp
　　cront -e 加入
　　*/10 * * * * ntpdate  ntpdate time.nist.gov > /dev/null 2>& 1
　　服务器端
　　安装puppet源
　　rpm -ivh "http://yum.puppetlabs.com/el/6/products/x86_64/puppetlabs-release-6-7.noarch.rpm"
　　作用
　　ls /etc/yum.repos.d/
　　CentOS-Base.repo       CentOS-Media.repo  epel-testing.repo
　　CentOS-Debuginfo.repo  CentOS-Vault.repo  puppetlabs.repo
　　CentOS-fasttrack.repo  epel.repo
　　安装服务端程序
　　yum install -y puppet-server
　　启动服务
　　service puppetmaster start
　　开机启动
　　chkconfig puppetmaster on
　　客户端
　　安装puppet源
　　rpm -ivh "http://yum.puppetlabs.com/el/6/products/x86_64/puppetlabs-release-6-7.noarch.rpm"
　　安装客户程序
　　yum install -y puppet
　　修改配置文件
　　vim /etc/puppet/puppet.conf 在最后添加
　　server = web1.bbs.com
　　runinterval = 10 主动更新，每隔30秒
　　启动服务
　　service puppet start
　　开机启动
　　chkconfig puppet on
　　配置认证
　　服务器查看客户端证书列表
　　puppet cert list --all 如果签发的认证，会本行最前面带一个+
　　客户端上生成ssl证书
　　puppet agent --test --server web1.bbs.com
　　服务器端签发指定客户端证书
　　puppet cert --sign web2.bbs.com
　　服务器端可以删除指定客户端证书
　　puppet cert clean web2.bbs.com
　　删除所有证书
　　puppet cert clean --all
　　删除证书的时候有时候就不显示客户端l
　　删除下面的目录 重启客户端服务
　　rm -rf /var/lib/puppet/ssl/* 存放证书的目录
　　/etc/init.d/puppet restart
　　[root@web1 ~]# puppet cert list --all
　　"web2.bbs.com" (SHA256) 87:EF:DA:AE:22:58:08:7C:8A:F0:71:AB:D2:AB:6D:33:AB:31:BF:21:6C:A0:A8:4F:F4:AB:52:47:0A:99:A4:86
　　[root@web1 ~]# puppet cert --sign web2.bbs.com
　　Notice: Signed certificate request for web2.bbs.com
　　Notice: Removing file Puppet::SSL::CertificateRequest web2.bbs.com at '/var/lib/puppet/ssl/ca/requests/web2.bbs.com.pem'
　　配置自动签发证书
　　vim /etc/puppet/puppet.conf
　　main末尾
　　加上 # Where SSL certificates are kept.
　　# The default value is '$confdir/ssl'.
　　ssldir = $vardir/ssl
　　autosign = true 支持自动签名
　　服务器端删除客户端证书 puppet cert clean web2.bbs.com
　　客户端删除ssl相关文件 rm -rf /var/lib/puppet/ssl*
　　服务器创建自动签发的配置文件 vim /etc/puppet/autosign.conf 加入一下内容
　　*.bbs.com
　　服务器重启puppetmasert服务 /etc/init.d/puppetmaster restart
　　客户端重启puppet服务 /etc/init.d/puppet restart
　　服务端
　　puppet cert list --all 可以看到web2.bbs.com已经签名
　　如果客户端不重启puppet服务，也可以通过命令来自动签发
　　puppet agent --test --server web1.bbs.com
　　测试证书
　　服务器上编辑配置文件
　　vim /etc/puppet/mainfests/site.pp 添加如下内容 主配置文件
　　node default {
　　file {"/tmp/123.txt";
　　content => "test.test";
　　}}
　　说明：该配置文件后面还会讲到，如果不配置该文件，则客户端不会同步任何数据
　　客户端上稍等一会 每隔10s会自动执行服务端上的任务
　　tcpdump -nn host 192.168.1.122 抓包
　　puppet agent --test --server web1.bbs.com
　　这样在客户端的/tmp/下会有个123.txt文件，内容为test，test
　　这样认证就成功了
　　puppet cert clean web2.bbs.com
　　清空掉 就不管用了
　　定义模块管理
　　模块是puppet的配置单元，模块里面会包含类和资源，同步文件，远程执行命令，cron等叫做资源，都是通过模块来实现的，下面来写一个模块
　　服务器端创建目录 mkdir /etc/puppet/modules/testm 这个目录名字也作为模块名字，然后继续创建模块对应的子目录mkdir /etc/puppet/modules/testm/{files,manifests,templates} file里面存文件，可以留空，mamifests里面是配置文件，templates里面是模块文件可以为空
　　创建配置文件 vim /etc/puppet/modules/testm/manifests/init.pp 初始入口的配置文件很关键
　　class testm{
　　file {"tmp/2.txt":
　　owner => "root",
　　group => "root",
　　mode => 0400,
　　source => "puppet://$puppetserver/modules/testm/1.txt"
　　}}
　　说明：类名字也叫作testm，类下面定义了一个资源file，文件名字叫做/tmp/2.5s5,owner,group,mode定义文件的属主，属组以及权限，source定义这个文件从哪里获取，$puppetserver一会也要定义一下，这里指的是puppetserver服务器上/etc/puppet/modules/testm/files/1.txt
　　下面要继续定义一个很关键的配置文件
　　vim /etc/puppet/manifests/site.pp
　　$puppetserver='web1.bbs.com'
　　node 'web2.bbs.com'{
　　include testm
　　}
　　说明：$puppetserver定义服务端的主机名，node后面为客户端的主机名，这里面定义该客户端要加载的模块
　　配置完成后，在客户端执行命令：
　　puppet agent --test --server=web1.bbs.com 如果客户端上启动了puppet服务，不用执行这命令，他也会自动同步的
　　文件或目录资源
　　上面的模块其实只是同步了一个文件而已，那么要怎么同步一个目录？可以通过实现同步一个目录来做一个包发布系统 比如在一台机器上便已安装好了Apache，那么就可以通过这样的模块把这个Apache目录整个发布到其他机器上
　　服务器配置
　　模块配置如下
　　cless apache{
　　file {"/usr/local/apache2":对方机器上的目录
　　owner => "root",
　　group => "root",
　　source => "puppet://$puppetserver/modules/testm/apache2",从服务的目录下载
　　recurse => true
　　purge => true
　　}
　　}
　　其中recurse=>这个参数很关键，表示递归的意思，没有这个不能同步目录 purge参数可以保证当服务端删除某个文件，客户端可以跟着删除
　　远程执行命令
　　exec {"123":
　　unless => "test -f /tmp/55.txt",
　　path => ["/bin", "/sbin", "/usr/bin", "/usr/sbin"],
　　command => "touch /tmp/55.txt
　　}
　　说明：123只是作为该资源的一个名字，unless后面的命令作为条件，当条件成立时不会执行下面的命令，如果想要条件成立时，执行下面的命令，用onlyif，要注意的是，一定要给执行的这条命令加个条件，使用unless就可以，必须满足这个条件才能执行命令，否则这个命令会一直执行，不太妥当
　　任务计划
　　cron{"222":
　　command => "/sbin/ntpdate time.windows.com",
　　user => "root"
　　minute => "*/10",
　　minute => ”10-15“，
　　#ensure => "absent"
　　}
　　说明：分时日月周分别为对应puppet里面的minute，hour，monthday，month，weekday，ensure设置为absent为删除该任务，如果不设置改行则为建立