puppet 配置管理工具

火星人 @ 2014-03-03 , reply:0


puppet 配置管理工具

puppet 配置管理工具







puppet 介紹
為什麼要開發puppet

系統管理員都喜歡自己寫點小工具來讓自己的工作完成的更快或者更好, 不管是在大企業管理大量的伺服器還是只管理兩三台機器. 但是很少人會把他們的工具發布出來. 也就是是說極少有工具能被重用,或者說很多工具就只能在所在的組織內部有用.拷貝給別的組織,他們也用不上. 也就是說,每個系統管理員,在一個新的公司,都會另起爐灶開發一套基於ssh,for循環的"系統"來幫助自己完成系統管理任務.

開發puppet是為了讓系統管理員社區可以相互交流和共享成熟的工具,避免重複的勞動. 通過以下兩個特性來實現這一目標:
提供一個簡潔的但是強大的框架來完成系統管理任務
系統管理任務可以描述成puppet語言,因此可以相互分享代碼,就像分享其他語言的代碼一樣,比如python, c等

因此,作為系統管理員的你可以更快的完成工作,因為你可以用puppet來處理所有的管理細節. 甚至你還可以下載其他管理員的puppet代碼來讓你的工作完成的更快.
作為工具的 puppet

puppet是一個配置管理工具, 典型的, puppet是一個C/S結構, 當然,這裡的C可以有很多,因此,也可以說是一個星型結構. 所有的puppet客戶端同一個伺服器端的puppet通訊. 每個puppet客戶端每半小時(可以設置)連接一次伺服器端, 下載最新的配置文件,並且嚴格按照配置文件來配置伺服器. 配置完成以後,puppet客戶端可以反饋給伺服器端一個消息. 如果出錯,也會給伺服器端反饋一個消息. 下圖展示了一個典型的puppet配置的數據流動情況.

紫色部分是puppet伺服器端,藍色是客戶端,所有機器的配置文件都保存在svn裡面.
穩定性

puppet與其他手工操作工具有一個最大的區別就是 puppet的配置具有穩定性,因此你可以多次執行puppet, 一旦你更新了你的配置文件,puppet就會根據配置文件來更改你的機器配置,通常每30分鐘檢查一次. puppet會讓你的系統狀態同配置文件所要求的狀態保持一致. 比如你配置文件裡面要求ssh服務必須開啟. 假如不小心ssh服務被關閉了,那麼下一次執行puppet的時候,puppet會發現這個異常,然後會開啟 ssh 服務. 以使系統狀態和配置文件保持一致.puppet就象一個魔術師,會讓你的混亂的系統收斂到puppet配置文件所想要的狀態.

可以使用puppet管理伺服器的整個生命周期,從初始化到退役.不同於傳統的例如sun的Jumpstart或者redhat的Kickstart, puppet可以長年讓伺服器保持最新狀態.只要一開始就正確的配置他們,然後再也不用去管他們.通常puppet用戶只需要給機器安裝好puppet並讓他們運行,然後剩餘的工作都由puppet來完成.
puppet的細節和原理

puppet的目的是讓你只集中於你要管理的目標,而忽略實現的細節,例如命令名,參數或者文件格式. puppet把系統裡面的用戶,軟體包,服務 看作是"資源", puppet的作用就是管理這些資源以及資源之間的相互聯繫.
底層支撐工具 Providers

puppet有很多的資源類型,例如文件,用戶,軟體包,服務, 不同的操作系統上對資源的管理命令是不一樣的,例如debian下面用apt-get安裝軟體,redhat下面用yum安裝軟體.
因此 puppet 對同一資源的管理可以有多個實現,配置資源的時候,可以明確的指定用什麼provider. 例如在redhat上配置一個package資源的時候,可以指定provide是yum.
修改系統配置

puppet 通過管理資源的方式來管理系統, 例如管理某個軟體是否要安裝,是安裝最新的還是安裝了就行. 管理某個服務是否開啟, 管理某個文件的屬性,內容等等. 所有的資源都有對應的幾個屬性可以設置. 通過設置屬性的方式來管理資源. 有一種特殊的屬性可以用在所有的資源上面,這種屬性叫做 metaparams ( 元參數或者元屬性).
資源之間的關係

支持資源之間的關係配置是puppet的關鍵特性之一. 一個資源的變更可以對另一個資源產生一個動作.例如 /etc/apache.conf這個資源有改動,可以讓/etc/init.d/apache 這個資源 reload一下.
假如一個資源依賴另一個資源,那麼puppet會優先配置被依賴的資源,因此如果你的配置文件沒有準備好,對應的 服務是不會先啟動的.
exec 資源

有時候,沒有合適的資源來管理伺服器上的配置, 為了處理這個情況,puppet 提供一個叫做 exec的資源類型. 利用這個資源,你可以執行外部命令. 例如你可以用svnadmin命令來創建一個svn庫.
puppet 語言
資源

puppet的全部就是管理資源,因此puppet語言的焦點就是處理這些資源,下面是一個基本的管理單個資源的例子.file {"/etc/hosts":
    owner = root,
    group = root,
    mode = 644
}上面的列子給出了定義一個資源所需要的所有組件,類型,名字和屬性. 定義了一個 file 資源, 資源的title(標題)是 "/etc/hosts", 資源的屬性裡面設置了該文件屬於那個用戶和組,以及文件的許可權.
也可以在一個大括弧裡面定義多個資源,通過分號來區分.file {
  "/etc/sudoers":
    owner = "root",
    group = "root",
    mode  = 644;
  "/usr/sbin/sudo":
    owner = "root",
    group = "root",
    mode  = 4111
}避免重複配置

puppet的編譯器會避免在不同的代碼段裡面管理同一個資源, 如果在不同的代碼段對同一個資源進行配置,執行puppet的時候你會得到一個語法錯誤.
puppet探測這種衝突的情況是通過判斷資源類型和資源的title(標題 ); 如果兩個資源有相同的資源類型和title; 那麼就認為這兩個資源是表示同一個資源.
類 class


下面討論如何組合各種資源, 把多個相關的資源定義在一起,組成一個類. 例如下面的代碼.class sudo {
  package { sudo: ensure = installed }
  file {
    "/etc/sudoers":
      owner = "root",
      group = "root",
      mode  = 644;
    "/usr/sbin/sudo":
      owner = "root",
      group = "root",
      mode  = 4111
  }
}你在別的代碼段 include sudo 這個類,就會把sudo這個軟體包(package 那裡定義)安裝好,以及兩個配置文件設置好.
Inheritance 繼承


puppet 支持有限制的類的繼承, 但是它只有一個唯一的作用就是: 子類裡面的屬性可以覆蓋父類裡面的屬性. 下面是一個勉強正確的例子.class base {
  file { "/my/file": content = template("base.erb") }
}

class sub inherits base {
  # override the content
  File["/my/file"] { content = template("other.erb") }
}注意,在子類裡面的資源類型的定義是用的大寫的 File ;表示對這個資源重新定義,如果用小寫的 file;就會引起前面說的資源的重複配置的情況.得到一個語法錯誤.
一個複雜的真實的例子


生活總是不容易阿, 真實環境中,一個包經常關聯到幾個服務,同時又關聯到不同的配置文件. 幾乎所有的類unix系統裡面都有ssh服務. 通常,你不只是想安裝ssh包,而且你還想啟動ssh 服務.看看下面的例子class ssh {
  package { ssh: ensure = installed }
  file { sshd_config:
    name = $operatingsystem ? {
      Darwin  = "/etc/sshd_config",
      Solaris = "/opt/csw/etc/ssh/sshd_config",
      default = "/etc/ssh/sshd_config"
    },
    source = "puppet://server.domain.com/files/ssh/sshd_config"
  }
  service { ssh:
    name = $operatingsystem ? {
      Solaris = openssh,
      default = ssh
    },
    ensure    = running,
    subscribe = , File]
  }
}上面的代碼安裝好ssh包,並開啟ssh服務,因為在不同的操作系統上面,ssh的配置文件名字不一樣,所以還可以通過判斷操作系統的類型來指定資源的title(標題). 那麼操作系統的類型是怎麼判斷的呢? 下面就會解釋這個問題.

Facter Variables facter 變數

在上面的ssh 代碼裡面,我們引入了一些新的東西,首先是 $operatingsystem 這個變數, 這個變數被引用,在puppet分析代碼的時候,會把從 facter 傳送過來的對應的值賦值給這個變數. 你可以單獨手工執行facter這個命令,這個命令會列印出它所收集到的關於主機的信息,例如ip地址等等. facter把收集到值發送個puppet伺服器端,伺服器端就可以根據不同的條件來對不同的機器生成不同的puppet配置文件. 最重要的一個就是伺服器的主機名.

selectors 選擇器

另一個新東西就是 ? { … } 這個語法, 通過對 ? 前面的變數與括弧裡面的選擇項進行對比,然後把相應的值賦值給資源,例如上面的例子, $operatingsystem 如何是solaris ,那麼ssh這個資源的 name 屬性就是 "openssh" ;如果不匹配,就賦值成defualt的指, 匹配將區分大小寫.

title vs name (標題和名字)
如果你足夠細心,你會發現我們資源指定了第 2個名字 ,例如上面的 service 資源 ssh. 注意,冒號前面的名字叫做 title (標題), 標題的作用讓作者標識不同的資源,是寫給人以及puppet語法分析器看的. 因此配置資源相互關係的時候,也是用資源的title. name是指定這個資源的具體路徑,是寫給計算機看的. 通常,name 會默認和title的值一樣. 因此,你可以省略name. 只有情況特殊的時候才設置name屬性.

資源之間的關係

最後,我們來分析所有資源直接的關係,配置文件,包,服務.最後一行的 File 語法指定了一個資源參考,注意這裡是用的資源的title ,這樣你就不用指定資源的全路徑.
subscribe = , File] 這個語句表示,如果package "ssh" 或者 文件" sshd_config"有修改, service ssh需要重啟.
語言的其他特性

真相

幾乎所有的東西和符號在puppet裡面都被看作是字元串,包括數字和布爾值. 但是如果你用引號把true和false引起來,他們會被當做字元串,例如你想賦值給某個資性"yes"的 字元串.

變數

我們已經看過什麼是變數了,當然,你還可以直接給他賦值,例如
$myvar = value

puppet 不允許你在同一個類裡面對一個變數進行兩次賦值.

數組

puppet 非常有限的支持數組這種類型,你可以創建數組,並且給他們賦值,但是你不能刪除它們.數組用的最多的情況就是上面ssh例子裡面,資源依賴哪種情況. 或者是一次管理多個相同類型的資源.例如:
user { : ensure = present }


函數


puppet 支持簡單的函數語法,例如notice("This is a log message")puppet提供一些有用的函數,例如template利用erb模板來生成文件內容,這樣就可以根據不同主機的情況,生成不同的配置文件.例如配置squid的內存緩存大小,可以利用facter返回的內存值做一個簡單的數學計算,然後寫入到squid的配置文件,就是通過template來完成的. 另外一個函數include 可以讀入另外的puppet配置文件或者類.這樣可以把puppet的文件分割的更有規律. 具體的文檔參考puppet的函數文檔[點這裡]
puppet 語言高級特性

定義

puppet裡面有一個非常有用的語法結構,叫做"definitions", 通過 definitions 可以把多個資源包裝成一個資源,或者把一個資源包裝成一個模型,便於使用.例如,在debian裡面管理一個apache虛擬機非常簡單,把一個虛擬主機的配置文件放到/etc/sites-available/裡面,然後做一個符號鏈接到/etc/sites-enabled目錄. 你可以為你每個虛擬主機複製同樣的配置代碼,但是如果你使用下面的代碼就會更好和更簡單.define virtual_host($docroot, $ip, $order = 500, $ensure = "enabled") {
   $file = "/etc/sites-available/$name.conf"

   # The template fills in the docroot, ip, and name.
   file { $file:
       content => template("virtual_host.erb"),
       notify  => Service
   }
   file { "/etc/sites-enabled/$order-$name.conf":
       ensure => $ensure ? {
           enabled  => $file,
           disabled => absent
       }
   }
}然後,你就可以使用這個定義來管理一個apache虛擬主機,如下面代碼所示virtual_host { "reductivelabs.com":
    order   => 100,
    ip      => "192.168.0.100",
    docroot => "/var/www/reductivelabs.com/htdocs"
}你可以在其他地方重用這個定義, 另一個定義的用法就是包裝一組exec資源,讓使用者更加清晰思路.例如下面的代碼實現了一個svn庫的創建的定義.# Create a new subversion repository.
define svnrepo($path) {
    exec { "create-svn-$name":
        command => "/usr/bin/svnadmin create $path/$name",
        creates => "$path/$name" # only run if this file does not exist
    }
}然後,你可以在其他地方用下面的代碼來創建一個svn庫
svnrepo { puppet: path => "/var/lib/svn" }


nodes 節點


最後一個關於puppet語言的語法是 節點定義(node definition), 節點定義很象類定義,也支持繼承特性. 當一個節點(puppet客戶端)連接到puppet伺服器端,puppet解析器會查找這個節點的node代碼片斷,然後利用這個代碼片斷來生成該客戶端的配置代碼. puppet裡面主機名來標明一個主機,因此主機名在puppet裡面相當重要. 如果puppet找不到匹配該主機名的node定義,就會用默認的節點定義來配置該主機. 在node裡面使用主機名,需要用單引號把主機名括起來.node 'www.example.com' {
        include publickey_auth
        }在上面的代碼中,如果www.example.com這個主機連接到puppet伺服器,puppet伺服器就會按照上面的代碼來配置www.example.com這個機器.
語言教程


詳細的puppet語言教程,參考
典型的puppet使用方法


puppet既可以在單機上使用,也可以以c/s結構使用.在大規模使用puppet的情況下,通常使用c/s結構.在這種結構中puppet客戶端只是指運行puppet的伺服器,puppet伺服器端是只運行puppetmaster的伺服器.

puppet客戶端首先會連接到puppet伺服器端,並且通過facter工具把客戶端的配置信息發送給伺服器端. 伺服器端通過分析客戶端的主機名,通過node 定義,找到該主機的配置代碼,然後編譯配置代碼,把編譯好的配置代碼發回客戶端. 客戶端執行代碼完成配置.並且把代碼執行情況反饋給puppet伺服器端.
總結


以上列舉了許多非常有用的用法,但所有的這些只是Puppet功能的一個大概介紹。這裡有一份全面的[文檔],裡面附帶了許多例子:為了讓你能過更加深入的了解Puppet。我們會一直維護這個文檔,所以如果你有什麼具體的要求,請通過與我們聯繫。
Puppet資源:
項目主頁:http://projects.reductivelabs.com/
中文wiki:http://puppet.wikidot.com/
puppet用戶組:https://groups.google.com/group/puppet-users
《解決方案》

謝謝分享



[火星人 via ] puppet 配置管理工具已經有154次圍觀

http://www.coctec.com/docs/service/show-post-1188.html