SALTSTACK初始化配置

Salt初始化配置说明

Salt Master的默认配置将适用于大多数安装，并且设置minion的唯一要求是在主配置文件中设置Master的位置。 配置文件将被安装到/etc/salt并以相应的组件命名，/etc/salt/master和/etc/salt/minion。

Master配置

默认情况下，Salt Master监听所有接口（0.0.0.0）上的端口4505和4506。将其绑定到本地接口。

# 本地接口
interface: 172.17.0.2			

Minion的主要配置

虽然有许多Salt Minion配置选项，但配置Salt Minion非常简单。 默认情况下，Salt Minion会尝试连接到DNS名称``salt’’; 如果Minion能够正确解析该名称，则不需要做任何配置。 如果DNS名称“salt”没有解析为指向Master的正确位置，请在minion配置文件中，通常是/etc/salt/minion，重新定义“master”参数，如下所示：

# 这个master的地址填上salt-master的ip地址
master: 175.24.101.172

MINION开启iptables规则

iptables -A INPUT -m state --state new -m tcp -p tcp --dport 4505 -j ACCEPT
iptables -A INPUT -m state --state new -m tcp -p tcp --dport 4506 -j ACCEPT

关闭防火墙

systemctl stop firewalld

Key身份认证

在最初的密钥交换之前，Salt会提供命令来验证你的Salt Master和Salt Minion的身份。验证密钥身份有助于避免无意中连接到错误的Salt Master，并有助于在建立初始连接时防止潜在的MiTM（中间人）攻击。

Master密钥指纹

通过在Salt主机上运行以下命令来打印Master密钥指纹：

salt-key -F master
从Local Keys部分复制master.pub指纹，然后将该值设置为minion配置文件中的master_finger。 保存配置文件，然后重新启动Salt minion。

Minion Key密钥指纹 在每个Salt Minion上运行以下命令可以查看minion key指纹：

salt-call --local key.finger
将此值与您在Salt主机上运行salt-key --finger <MINION_ID>命令时显示的值进行比较，二者应是一致的。

密钥管理

Salt使用AES加密进行Master和Minion之间的所有通信。 这确保发送给Minions的命令不会被篡改，Master和Minion之间的通信通过可信的已接受的密钥进行认证。在命令发送给Minion之前，必须在Master上接受其密钥。 运行salt-key命令列出Salt Master已知的键：

$ salt-key -L
Accepted Keys:
Denied Keys:
Unaccepted Keys:
106.13.73.156
Rejected Keys:

使用salt-key -A 来接受key以使Mionions可以被Master管控

$ salt-key -A
The following keys are going to be accepted:
Unaccepted Keys:
106.13.73.156
Proceed? [n/Y] y
Key for minion 106.13.73.156 accepted.

发送命令

$ salt '*' test.ping
106.13.73.156:
    True

参考文档

Salt初始化配置说明