博客

SaltStack

  • Post author:
  • Post category:其他

常用的自动化管理工具

一、Puppet
—基于 Ruby 开发，采用 C/S 架构，扩展性强，基于 SSL，远程命令执行相对较弱
二、SaltStack
—基于 Python 开发，采用 C/S 架构，相对 puppet 更轻量级，配置语法使用 YMAL，使得配置 脚本更简单
三、Ansible
—基于 Pythonparamiko 开发，分布式，无需客户端，轻量级，配置语法使用 YMAL 及 Jinja2 模板语言，更强的远程命令执行操作

Ansible 是一个简单的自动化运维管理工具，可以用来自动化部署应用、配置、编排 task(持续 交付、无宕机更新等)，采用 paramiko 协议库（fabric 也使用这个），通过 SSH 或者 ZeroMQ 等连 接主机

saltstack介绍

1.saltstack简介
Saltstack是基于Python开发的一套C/S架构，具备Puppet、Ansible功能于一身的配置管理工具，功能十分强大，各模块融合度及复用性极高；使用号称世界上最快的消息队列ZeroMQ使得Saltstack能够秒级在数万台服务器上进行各种操作，而且使用RAS Key方式确认身份，传输采用AES加密，安全性能更高；
Saltstack不仅仅是一款配置管理工具，还是一款做云计算和数据中心架构编排利器。目前Salt-cloud项目也已经合并到Saltstack主项目里，Saltstack已经支持Docker相关模块，在友好地支持各大云平台之后，配合Saltstack的Mine实现各云平台业务自动扩展。
2.saltstack的通信端口
master端：4505
minion端：4506
saltstack的master端监听4505与4506端口。4505为salt的消息发布系统，4506为salt客户端与服务端通信的端口；salt客户端程序不监听端口，客户端启动后，会主动连接master端注册，然后一直保持该TCP连接，master通过这条TCP连接对客户端控制，如果连接断开，master对客户端就无能为力了。当然，客户端若检查到断开后会定期的一直连接master端的。
3.saltstack三大功能
远程执行
配置管理
云管理

  1. 简介
    SaltStack是基础架构管理的一种自动化工具。部署轻松，在几分钟内可运行起来，扩展性好，很容易管理上万台服务器，速度够快。与服务器之间的交流,以毫秒为单位。SaltStack提供了一个动态基础设施通信总线用于编排,远程执行、配置管理等等。SaltStack项目于2011年启动,年增长速度较快,五年期固定基础设施编制和配置管理的开源项目。SaltStack社区致力于保持slat项目集中、友好、健康、开放。
    官方介绍
    在这里插入图片描述

1.1 saltstack的特点
基于python开发的C/S架构配置管理工具
底层使用ZeroMQ消息队列pub/sub方式通信
使用SSL证书签发的方式进行认证管理，传输采用AES加密
在这里插入图片描述

1.2 saltstack架构
在saltstack架构中服务器端叫Master，客户端叫Minion。

在Master和Minion端都是以守护进程的模式运行，一直监听配置文件里面定义的ret_port(接受minion请求)和publish_port(发布消息)的端口。

当Minion运行时会自动连接到配置文件里面定义的Master地址ret_port端口进行连接认证。

saltstack除了传统的C/S架构外，其实还有一种叫做masterless的架构，其不需要单独安装一台 master 服务器，只需要在每台机器上安装 Minion端，然后采用本机只负责对本机的配置管理机制服务的模式。

1.3 saltstack原理
Salt使用server-agent通信模型，服务端组件被称为Salt master，agent被称为Salt minion
Salt master主要负责向Salt minions发送命令，然后聚合并显示这些命令的结果。一个Salt master可以管理多个minion系统
Salt server与Salt minion通信的连接由Salt minion发起，这也意味着Salt minion上不需要打开任何传入端口（从而减少攻击）。Salt server使用端口4505和4506，必须打开端口才能接收到访问连接

在这里插入图片描述

Publisher （端口4505）所有Salt minions都需要建立一个持续连接到他们收听消息的发布者端口。命令是通过此端口异步发送给所有连接，这使命令可以在大量系统上同时执行。

Request Server （端口4506）Salt minios根据需要连接到请求服务器，将结果发送给Salt master，并安全地获取请求的文件或特定minion相关的数据值（称为Salt pillar）。连接到这个端口的连接在Salt master和Salt minion之间是1:1（不是异步）。
SaltStack有四大功能，分别是：

远程执行
配置管理/状态管理
云管理(cloud)
事件驱动
SaltStack可以通过远程执行实现批量管理，并且通过描述状态来达到实现某些功能的目的。

SaltStack四大运行方式：

local本地运行
Master/Minion传统方式
Syndic分布式
Salt ssh

SaltStack工作机制

在saltstack架构中服务器端叫Master，客户端叫Minion。
在Master和Minion端都是以守护进程的模式运行，一直监听配置文件里面定义的ret_port(接受minion请求)和publish_port(发布消息)的端口。
当Minion运行时会自动连接到配置文件里面定义的Master地址ret_port端口进行连接认证。
saltstack除了传统的C/S架构外，其实还有一种叫做masterless的架构，其不需要单独安装一台 master 服务器，只需要在每台机器上安装 Minion端，然后采用本机只负责对本机的配置管理机制服务的模式。

SaltStack认证机制

salt-minion与salt-master的认证过程：

minion在第一次启动时，会在/etc/salt/pki/minion/下自动生成一对密钥，然后将公钥发给master
master收到minion的公钥后，通过salt-key命令接受该公钥。此时master的/etc/salt/pki/master/minions目录将会存放以minion id命名的公钥，然后master就能对minion发送控制指令了

master安装

角色 ip地址
控制端 192.168.11.122
被控端 192.168.11.120

master安装仓库和服务端,客户端

[root@master ~]# rpm --import https://repo.saltproject.io/py3/redhat/8/x86_64/latest/SALTSTACK-GPG-KEY.pub
[root@master ~]# curl -fsSL https://repo.saltproject.io/py3/redhat/8/x86_64/latest.repo | tee /etc/yum.repos.d/salt.repo
[root@master ~]# yum -y install salt-master
[root@master ~]# yum -y install salt-minion

minion安装客户端和仓库

[root@minion ~]# rpm --import https://repo.saltproject.io/py3/redhat/8/x86_64/latest/SALTSTACK-GPG-KEY.pub
[root@minion ~]# curl -fsSL https://repo.saltproject.io/py3/redhat/8/x86_64/latest.repo | tee /etc/yum.repos.d/salt.repo
[salt-latest-repo]
name=Salt repo for RHEL/CentOS 8 PY3
baseurl=https://repo.saltproject.io/py3/redhat/8/x86_64/latest
skip_if_unavailable=True
failovermethod=priority
enabled=1
enabled_metadata=1
gpgcheck=1
gpgkey=https://repo.saltproject.io/py3/redhat/8/x86_64/latest/SALTSTACK-GPG-KEY.pub
[root@minion ~]# yum -y install salt-minion

修改主控端的配置文件

[root@master ~]# sed -i '/^#master:/a master: 192.168.11.122' /etc/salt/minion   
[root@master ~]# sed -n '/^master/p' /etc/salt/minion
master: 192.168.11.122

启动主控端的salt-master和salt-minion，开机自启

[root@master ~]# systemctl start salt-master
[root@master ~]# systemctl start salt-minion
[root@master ~]# systemctl enable salt-master
Created symlink /etc/systemd/system/multi-user.target.wants/salt-master.service → /usr/lib/systemd/system/salt-master.service.
[root@master ~]# systemctl enable salt-minion
Created symlink /etc/systemd/system/multi-user.target.wants/salt-minion.service → /usr/lib/systemd/system/salt-minion.service.
[root@master ~]# ss -antl
State        Recv-Q       Send-Q             Local Address:Port              Peer Address:Port       Process       
LISTEN       0            128                      0.0.0.0:22                     0.0.0.0:*                        
LISTEN       0            128                      0.0.0.0:4505                   0.0.0.0:*                        
LISTEN       0            128                      0.0.0.0:4506                   0.0.0.0:*                        
LISTEN       0            128                         [::]:22                        [::]:* 

[root@master ~]# systemctl stop firewalld.service 
[root@master ~]# setenforce 0

修改被控端的配置文件，将master设为主控端的IP

[root@minion ~]# sed -i '/^#master:/a master: 192.168.11.122' /etc/salt/minion
[root@minion ~]# sed -n '/^master/p' /etc/salt/minion
master: 192.168.11.122

启动受控端的salt-minion并设置开机自启,关闭防火墙

[root@minion ~]# systemctl start salt-minion
[root@minion ~]# systemctl enable salt-minion
Created symlink /etc/systemd/system/multi-user.target.wants/salt-minion.service → /usr/lib/systemd/system/salt-minion.service.

查看当前证书情况

[root@master ~]# salt-key -L
Accepted Keys:
Denied Keys:
Unaccepted Keys:
master
minion
Rejected Keys:

接受所有minion的新证书

[root@master ~]# salt-key -yA
The following keys are going to be accepted:
Unaccepted Keys:
master
minion
Key for minion master accepted.
Key for minion minion accepted.
[root@master ~]# salt-key -L
Accepted Keys:
master
minion
Denied Keys:
Unaccepted Keys:
Rejected Keys:

[root@master ~]# cd /etc/salt/pki/
[root@master pki]# tree
.
├── master
│   ├── master.pem
│   ├── master.pub
│   ├── minions
│   │   ├── master
│   │   └── minion
│   ├── minions_autosign
│   ├── minions_denied
│   ├── minions_pre
│   └── minions_rejected
└── minion
    ├── minion_master.pub
    ├── minion.pem
    └── minion.pub

7 directories, 7 files

SaltStack远程执行

语法：salt [options] '<target>' <function> [arguments]

常用的options
    --version       //查看saltstack的版本号
    --versions-report   //查看saltstack以及依赖包的版本号
    -h      //查看帮助信息
    -c CONFIG_DIR   //指定配置文件目录(默认为/etc/salt/)
    -t TIMEOUT      //指定超时时间(默认是5s)
    --async     //异步执行
    -v      //verbose模式，详细显示执行过程
    --username=USERNAME     //指定外部认证用户名
    --password=PASSWORD     //指定外部认证密码
    --log-file=LOG_FILE     //指定日志记录文件
    
常用target参数
    -E      //正则匹配
    -L      //列表匹配 
    -S      //CIDR匹配网段
    -G      //grains匹配
    --grain-pcre    //grains加正则匹配
    -N      //组匹配
    -R      //范围匹配
    -C      //综合匹配（指定多个匹配）
    -I      //pillar值匹配

//允许所有的
[root@master ~]# salt-key -Ay
The following keys are going to be accepted:
Unaccepted Keys:
master
minion
Key for minion master accepted.
Key for minion minion accepted.
[root@master ~]# salt-key -L
Accepted Keys:
master
minion
Denied Keys:
Unaccepted Keys:
Rejected Keys:

在进行测试
[root@master ~]# salt "*" test.ping
minion:
    True
master:
    True
[root@master ~]# salt "minion" test.ping
minion:
    True
[root@master ~]# salt "master" test.ping
master:
    True
[root@master ~]# salt "master" cmd.run date
master:
    Thu Jul  1 06:27:44 EDT 2021
[root@master ~]# salt "minion" cmd.run hostname
minion:
    minion

正则表达式匹配
[root@master ~]# salt -E 'm*' test.ping
master:
    True
minion:
    True
网段查询
[root@master ~]# salt -S '192.168.11.0/24' test.ping
minion:
    True
master:
    True
版权声明：本文为h0021原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。