自动化运维工具——SaltStack(一)

1. 概述

1.1 saltstack简介

SaltStack是一个服务器基础架构集中化管理平台，具备配置管理、远程执行、监控等功能，一般可以理解为简化版的puppet和加强版的func。SaltStack基于Python语言实现，结合轻量级消息队列（ZeroMQ）与Python第三方模块（Pyzmq、PyCrypto、Pyjinjia2、python-msgpack和PyYAML等）构建。通过部署SaltStack环境，我们可以在成千上万台服务器上做到批量执行命令，根据不同业务特性进行配置集中化管理、分发文件、采集服务器数据、操作系统基础及软件包管理等，SaltStack是运维人员提高工作效率、规范业务配置与操作的利器。

1.2 特点

• 基于python开发的C/S架构配置管理工具
• 底层使用ZeroMQ消息队列pub/sub方式通信
• 使用SSL证书签发的方式进行认证管理，传输采用AES加密

1.2 saltstack服务架构

在saltstack架构中服务器端叫Master，客户端叫Minion。

在Master和Minion端都是以守护进程的模式运行，一直监听配置文件里面定义的ret_port(接受minion请求)和publish_port(发布消息)的端口。

当Minion运行时会自动连接到配置文件里面定义的Master地址ret_port端口进行连接认证。

saltstack除了传统的C/S架构外，其实还有一种叫做masterless的架构，其不需要单独安装一台 master 服务器，只需要在每台机器上安装 Minion端，然后采用本机只负责对本机的配置管理机制服务的模式。

2. saltstack四大功能与四大运行方式

SaltStack有四大功能，分别是：

• 远程执行
• 配置管理/状态管理
• 云管理(cloud)
• 事件驱动

SaltStack可以通过远程执行实现批量管理，并且通过描述状态来达到实现某些功能的目的。

SaltStack四大运行方式：

• local本地运行
• Master/Minion传统方式
• Syndic分布式
• Salt ssh

3. saltstack架构

4. saltstack安装与最小化配置

环境：

主机类型	IP	要安装的应用
控制机	192.168.157.11	salt、salt-cloud、salt-master、salt-minion、salt-ssh、salt-syndic
被控机	192.168.157.33	salt-minion

4.1 在控制机上安装saltstack主控端软件

	[root@nfs-backup~]# rpm -ivh https://repo.saltstack.com/yum/redhat/salt-repo-latest-2.el7.noarch.rpm
	获取https://repo.saltstack.com/yum/redhat/salt-repo-latest-2.el7.noarch.rpm
	准备中...                          ################################# [100%]
	正在升级/安装...
	   1:salt-repo-latest-2.el7           ################################# [100%]


	[root@nfs-backup ~]# yum clean all
	已加载插件：fastestmirror
	正在清理软件源： base epel extras salt-latest updates
	Cleaning up everything
	Cleaning up list of fastest mirrors
	
	//安装saltstack主控端
	[root@nfs-backup~]# yum -y install salt salt-cloud salt-master salt-minion salt-ssh salt-syndic
	安装过程略....
	
	
	//修改主控端的配置文件
	[root@nfs-backup~]# sed -i '/^#master:/a master: 192.168.157.11’ /etc/salt/minion
	[root@nfs-backup~]# sed -n '/^master/p' /etc/salt/minion
	master: 192.168.157.11
	#切记：“master： ” 冒号后要添加一个空格，然后再写IP

	
	//启动主控端的salt-master和salt-minion，并设置开机自启
	[root@nfs-backup ~]# systemctl start salt-master
	[root@nfs-backup ~]# systemctl start salt-minion
	[root@nfs-backup ~]# systemctl enable salt-master
	[root@nfs-backup ~]# systemctl enable salt-minion

4.2 在被控机上安装salt-minion客户端

	[root@xaii ~]# rpm -ivh https://repo.saltstack.com/yum/redhat/salt-repo-latest-2.el7.noarch.rpm
	获取https://repo.saltstack.com/yum/redhat/salt-repo-latest-2.el7.noarch.rpm
	准备中...                          ################################# [100%]
	正在升级/安装...
	   1:salt-repo-latest-2.el7           ################################# [100%]

	[root@xaii ~]# yum clean all
	已加载插件：fastestmirror
	正在清理软件源： base epel extras salt-latest updates
	Cleaning up everything
	Cleaning up list of fastest mirrors

	[root@xaii ~]# yum -y install salt-minion
	安装过程略....


	//修改被控端的配置文件，将master设为主控端的IP
	[root@xaii ~]# sed -i '/^#master:/a master: 192.168.157.11' /etc/salt/minion
	[root@xaii ~]# sed -n '/^master/p' /etc/salt/minion
	master: 192.168.157.11
	#切记：“master： ” 冒号后要添加一个空格，然后再写IP

	//启动受控端的salt-minion并设置开机自启
	[root@xaii~]# systemctl start salt-minion
	[root@xaii ~]# systemctl enable salt-minion

4.3 saltstack配置文件

saltstack的配置文件在/etc/salt目录

配置文件	说明
/etc/salt/master	主控端（控制端）配置文件
/etc/salt/minion	受控端配置文件

配置文件/etc/salt/master默认的配置就可以很好的工作，故无需修改此配置文件。

配置文件/etc/salt/minion常用配置参数

• master：设置主控端的IP
• id：设置受控端本机的唯一标识符，可以是ip也可以是主机名或自取某有意义的单词

5. 修改minion_id

	//停止受控端服务
	[root@xaii ~]# systemctl stop salt-minion


	//修改salt-minion端配置文件 
	[root@xaii ~]# vim /etc/salt/minion_id 


	//删除之前的秘钥文件
	[root@xaii ~]# cd /etc/salt/pki/master/minions_pre/
	[root@xaii minions_pre]# rm -fr nfs-*


	//重启minion端
	[root@xaii ~]# systemctl restart salt-minion


	//master端允许
	[root@nfs-backup ~]# salt-key -A
	The following keys are going to be accepted:
	Unaccepted Keys:
	192.168.157.33
	Proceed? [n/Y] Y           
	Key for minion 192.168.157.33 accepted.

6. saltstack认证机制

saltstack主控端是依靠openssl证书来与受控端主机认证通讯的，受控端启动后会发送给主控端一个公钥证书文件，在主控端用salt-key命令来管理证书。

salt-minion与salt-master的认证过程：

• minion在第一次启动时，会在/etc/salt/pki/minion/下自动生成一对密钥，然后将公钥发给master
• master收到minion的公钥后，通过salt-key命令接受该公钥。此时master的/etc/salt/pki/master/minions目录将会存放以minion id命名的公钥，然后master就能对minion发送控制指令了

		//salt-key常用选项
	    -L      //列出所有公钥信息
	    -a minion    //接受指定minion等待认证的key
	    -A      //接受所有minion等待认证的key
	    -r minion    //拒绝指定minion等待认证的key
	    -R      //拒绝所有minion等待认证的key
	    -f minion   //显示指定key的指纹信息
	    -F      //显示所有key的指纹信息
	    -d minion   //删除指定minion的key
	    -D      //删除所有minion的key
	    -y      //自动回答yes

		//查看当前证书情况
		[root@nfs-backup ~]# salt-key -L 
		Accepted Keys:
		nfs-backup
		xaii
		Denied Keys:
		Unaccepted Keys:
		Rejected Keys:

		//接受所有minion的新证书
		[root@nfs-backup ~]# salt-key -yA
		The following keys are going to be accepted:
		Unaccepted Keys:
		xaii
		Key for minion xaii accepted.

7. saltstack远程执行

	//测试指定受控端192.168.157.33主机是否存活	
	[root@nfs-backup ~]# salt 'xaii' test.ping
	xaii:
	    True
	[root@nfs-backup ~]# salt 'xaii'  cmd.run hostname
	xaii:
 	    xaii

	
	//测试所有受控端主机是否存活
	[root@nfs-backup ~]# salt '*' test.ping
	xaii:
	    True
	nfs-backup:
	    True