SaltStack

SaltStack简介

SaltStack是基础架构管理的一种自动化工具。部署轻松，在几分钟内可运行起来，扩展性好，很容易管理上万台服务器，速度够快。与服务器之间的交流,以毫秒为单位。SaltStack提供了一个动态基础设施通信总线用于编排,远程执行、配置管理等等。SaltStack项目于2011年启动,年增长速度较快,五年期固定基础设施编制和配置管理的开源项目。SaltStack社区致力于保持slat项目集中、友好、健康、开放。

saltstack是基于python开发的一套C/S自动化运维工具，通信采用了zeromq消息队列的(pub/sub)，数据传输采用了AES（高级加密）保证安全性，认证采用了SSL方式

官网：https://docs.saltproject.io/en/latest/

自动化运维工具

常用的自动化工具有：
ansible
saltstack
puppet
这三款都是自动化工具，可以用来提高运维管理效率，在这三款运维工具中目前主流的是ansible和saltstack。ansible和saltstack的区别在于ansible无需安装客户端，这也成为了ansible的一大优势；而saltstack则需要安装客户端，也可以不用安装，他们的适用场景也不一样，ansible适用于小型企业，管理较少的服务器时适用，saltstack则用于中大型企业，因为ansible无法并行执行saltstack则可以并行执行。但是这三款运维工具并不存在优劣，只是适用的场景的不同。

saltstack的特点

因为saltstack时基于python开发的C/S架构配置管理工具
底层使用ZeroMQ消息队列pub/sub方式通信
使用SSL证书签发的方式进行认证管理，传输采用AES加密

ZeroMQ介绍

ZeroMQ是由一套组件组成，内封装的有网络通信，消息队列，线程调度等功能并向上层提供了简洁的API接口，应用程序通过加载库文件，调用API函数来实现高性能网络通信。

ZeroMQ的常用的两种模型
请求回应模型
由请求端发起请求，然后等待回应端应答。一个请求必须对应一个回应，从请求端的角度来看是发-收配对，从回应端的角度是收-发对。跟一对一结对模型的区别在于请求端可以是1~N个。该模型主要用于远程调用及任务分配等。Echo服务就是这种经典模型的应用。

发布订阅模型（这也时saltstack的主要的模型）
发布端单向分发数据，且不关心是否把全部信息发送给订阅端。如果发布端开始发布信息时，订阅端尚未连接上来，则这些信息会被直接丢弃。订阅端未连接导致信息丢失的问题，可以通过与请求回应模型组合来解决。订阅端只负责接收，而不能反馈，且在订阅端消费速度慢于发布端的情况下，会在订阅端堆积数据。该模型主要用于数据分发。天气预报、微博明星粉丝可以应用这种经典模型。

saltstack服务架构

在saltstack架构中服务器端叫Master，客户端叫Minion。

在Master和Minion端都是以守护进程的模式运行，一直监听配置文件里面定义的ret_port(接受minion请求)和publish_port(发布消息)的端口。

当Minion运行时会自动连接到配置文件里面定义的Master地址ret_port端口进行连接认证。

saltstack除了传统的C/S架构外，其实还有一种叫做masterless的架构，其不需要单独安装一台 master 服务器，只需要在每台机器上安装 Minion端，然后采用本机只负责对本机的配置管理机制服务的模式。

saltstack四大功能与四大运行方式

saltstack四大功能，分别是：

远程执行 （批量执行命令）在master上执行命令时，会在所有的minion上执行。
配置管理/状态管理 （描述想到达到的状态，saltstack就会去执行）
云管理(cloud) 用于管理云主机
事件驱动 被动执行的，当达到某个值会自动触发
saltstack可以通过远程执行实现批量管理，并且通过描述状态来达到某些功能的目的。

saltstack四大运行方式：

local本地运行 （masterless模式）
master/minion传统方式 这是saltstack的主要模式
syndic 分布式
salt ssh （agentless模式）

saltstack安装与最小化配置

环境说明：

主机名	IP	所需应用	系统
master(控制节点)	192.168.71.134	salt salt-cloud salt-master salt-minion salt-ssh salt-syndic	Redhat8.2
minion01(被控节点)	192.168.71.140	salt-minion	Redhat8.2

yum源：https://repo.saltproject.io/#about

//在master上安装saltstack主控端软件

//配置yum源
[root@master ~]# rpm --import https://repo.saltproject.io/py3/redhat/8/x86_64/latest/SALTSTACK-GPG-KEY.pub

[root@master yum.repos.d]# curl -fsSL https://repo.saltproject.io/py3/redhat/8/x86_64/latest.repo | sudo tee /etc/yum.repos.d/salt.repo
[salt-latest-repo]
name=Salt repo for RHEL/CentOS 8 PY3
baseurl=https://repo.saltproject.io/py3/redhat/8/x86_64/latest
skip_if_unavailable=True
failovermethod=priority
enabled=1
enabled_metadata=1
gpgcheck=1
gpgkey=https://repo.saltproject.io/py3/redhat/8/x86_64/latest/SALTSTACK-GPG-KEY.pub

//安装所需要的服务
[root@master ~]# yum -y install salt-master salt-minion

//修改主控端配置文件
[root@master salt]# pwd
/etc/salt
[root@master salt]# vim minion
 16 #master: salt
 17 master: 192.168.71.134

//启动saltstack并设置开机自启
[root@master salt]# systemctl enable --now salt-master.service 
Created symlink /etc/systemd/system/multi-user.target.wants/salt-master.service → /usr/lib/systemd/system/salt-master.service.

[root@master salt]# systemctl enable --now salt-minion.service 
Created symlink /etc/systemd/system/multi-user.target.wants/salt-minion.service → /usr/lib/systemd/system/salt-minion.service.

[root@master salt]# ss -anlt
State     Recv-Q     Send-Q         Local Address:Port         Peer Address:Port    
LISTEN    0          128                  0.0.0.0:22                0.0.0.0:*       
LISTEN    0          128                  0.0.0.0:4505              0.0.0.0:*       
LISTEN    0          128                  0.0.0.0:4506              0.0.0.0:*       
LISTEN    0          128                     [::]:22                   [::]:* 


+-------------------------------------------------------------------------------------------------+

//在minion01上安装salt-minion客户端

//配置yum源
[root@minion01 yum.repos.d]# curl -fsSL https://repo.saltproject.io/py3/redhat/8/x86_64/latest.repo | sudo tee /etc/yum.repos.d/salt.repo
[salt-latest-repo]
name=Salt repo for RHEL/CentOS 8 PY3
baseurl=https://repo.saltproject.io/py3/redhat/8/x86_64/latest
skip_if_unavailable=True
failovermethod=priority
enabled=1
enabled_metadata=1
gpgcheck=1
gpgkey=https://repo.saltproject.io/py3/redhat/8/x86_64/latest/SALTSTACK-GPG-KEY.pub

//安装所需要的服务
[root@minion01 ~]# yum -y install salt-minion

//修改配置文件
[root@minion01 salt]# pwd
/etc/salt
[root@minion01 salt]# vim minion
16 #master: salt
 17 master: 192.168.71.140

//重启服务并设置开机自启
[root@minion01 salt]# systemctl enable --now salt-minion.service

saltstack配置文件

saltstack的配置文件在/etc/salt目录

saltstack配置文件说明：

配置文件	说明
/etc/salt/master	主控端配置文件
/etc/salt/minion	受控端配置文件

配置文件件/etc/salt/master默认的配置就可以很好的工作，故无需修改此配置文件

配置文件/etc/salt/minion常用配置参数

master：设置主控端的IP
id：设置受控端主机的唯一标识符，可以是IP也可以是主机名或自取见名知意的单词等都可。
在日常使用过程中，经常需要调整或修改Master配置文件，SaltStack大部分配置都已经指定了默认值，只需根据自己的实际需求进行修改即可。下面的几个参数是比较重要的

max_open_files：可根据Master将Minion数量进行适当的调整
timeout：可根据Master和Minion的网络状况适当调整
auto_accept和autosign_file：在大规模部署Minion时可设置自动签证
master_tops和所有以external开头的参数：这些参数是SaltStack与外部系统进行整合的相关配置参数

saltstack的认证机制

saltstack主控端是依靠openssl证书来与受控端主机认证通讯的，受控端启动后会发送给主控端一个公钥证书文件，在主控端用salt-key命令来管理证书。

master与minion的认证过程
minion在第一次启动时会在/etc/salt/下生成/pki/minion目录,并在下面创建minion.pem（私钥）和minion.pub(公钥)，然后主动将minion.pub发送到master的/etc/salt/pki/master/minions.pre/下面,并且文件以minion的id文件内的数据命名，等待认证。在master上执行salt-key -L命令可以查看等待签证的minion。执行salt-key -A -y命令同意所有没有签证的minion。这时minion会在/etc/salt/pki/minion/下生成minion_master.pub文件，注这个是master的公钥文件。并且master会将/pki/master/minions.pre目录下的公钥转移到/pki/master/minions/目录下表示已经认证，这时master就可以管理minion了。

//salt-key常用选项
    -L      //列出所有公钥信息
    -a minion    //接受指定minion等待认证的key
    -A      //接受所有minion等待认证的key
    -r minion    //拒绝指定minion等待认证的key
    -R      //拒绝所有minion等待认证的key
    -f minion   //显示指定key的指纹信息
    -F      //显示所有key的指纹信息
    -d minion   //删除指定minion的key
    -D      //删除所有minion的key
    -y      //自动回答yes

//接受指定的minion证书

[root@master salt]# salt-key -ya minion01  //主机名也可以替换成IP可以到此处修改：
[root@minion01 salt]# vim minion
112---#id:  //取消注释后面接本机IP。
//重启服务即可
The following keys are going to be accepted:
Unaccepted Keys:
minion01
Key for minion minion01 accepted.

[root@master salt]# salt-key -L
Accepted Keys:
minion01
Denied Keys:
Unaccepted Keys:
master
Rejected Keys:


+-------------------------------------------------------------------------------------------------+


//接受所有的minion证书

[root@master salt]# salt-key -yA 
The following keys are going to be accepted:
Unaccepted Keys:
master
Key for minion master accepted.

[root@master salt]# salt-key -L
Accepted Keys:
master
minion01
Denied Keys:
Unaccepted Keys:
Rejected Keys

远程执行

[root@master salt]# salt "minion01" test.ping
minion01:
    True

[root@master salt]# salt "*" test.ping  //表示所有授权的主机
minion01:
    True
master:
    True

salt命令使用

//语法：salt [options] '<target>' <function> [arguments]

//常用的options
    --version       //查看saltstack的版本号
    --versions-report   //查看saltstack以及依赖包的版本号
    -h      //查看帮助信息
    -c CONFIG_DIR   //指定配置文件目录(默认为/etc/salt/)
    -t TIMEOUT      //指定超时时间(默认是5s)
    --async     //异步执行
    -v      //verbose模式，详细显示执行过程
    --username=USERNAME     //指定外部认证用户名
    --password=PASSWORD     //指定外部认证密码
    --log-file=LOG_FILE     //指定日志记录文件
    
//常用target参数
    -E      //正则匹配
    -L      //列表匹配 
    -S      //CIDR匹配网段
    -G      //grains匹配
    --grain-pcre    //grains加正则匹配
    -N      //组匹配
    -R      //范围匹配
    -C      //综合匹配（指定多个匹配）
    -I      //pillar值匹配

修改完之后记得重启服务
[root@minion01 salt]# vim minion
113 id: 192.168.71.140

[root@master salt]# vim minion
114 id: 192.168.71.134

[root@master salt]# salt-key -yd minion01
The following keys are going to be deleted:
Accepted Keys:
minion01
Key for minion minion01 deleted.


[root@master salt]# systemctl restart salt-master.service
[root@minion01 salt]# systemctl restart salt-minion.service

[root@master salt]# salt -S '192.168.71.0/24' test.ping
192.168.71.140:
    True
192.168.71.134:
    True


[root@master salt]# salt -G 'os:redhat' test.ping
192.168.182.141:
    True
192.168.182.142:
    True

组匹配
nodegroups:
1232   group1: 'L@192.168.71.134,192.168.71.140'
1233   group2: 'G@os:RedHat'

[root@master salt]# systemctl restart salt-master.service 
[root@master salt]# systemctl restart salt-minion.service

[root@master salt]# salt-run jobs
[root@master salt]# salt -N group1 test.ping
192.168.71.140:
    True
192.168.74.134:
    True

//此处的centos是一个组名，需要在master配置文件中定义nodegroups参数，且需要知道minion的id信 \
//息才能将其定义至某个组中
[root@master salt]# salt -C 'G@os:RedHat or L@192.168.71.140' test.ping
192.168.71.134:
    True
192.168.71.140:
    True