4、saltstack的使用
官方文档地址：http://repo.saltstack.com/#rhel
4.1、saltstatck介绍：
用户要一致，这里使用的是root用户；
用于批量管理成百上千的服务器；
并行的分发，使用python开发，提供丰富的api接口；
Saltstack的master端监听4505与4506端口，4505为master和minion认证通信端口，4506为master用来发送命令或者接收minion的命令执行返回信息；
当客户端启动后，会主动连接master端注册，然后一直保持该TCP连接，而master通过这条TCP连接对客户端进行控制。如果连接断开，master对客户端
将不能进行控制，但是当客户端检查到连接断开后，会定期向master端请求注册连接；
1、saltstack运行方式:
①Local②Master/Minion③master④Salt SSH
2、saltstack三大功能：
①远程执行②配置管理③云管理
3、saltstack数据系统：
①Grains （静态数据）②pillar （动态数据）
4、saltstack配置管理：
①SLS（YAML、Jinja）②Highstate③States Mod
5、Saltstack几个重要的组件：
（1）grains：
grains 是在 minion（客户端）启动时收集到的一些信息，比如操作系统类型、网卡ip等静态信息。grains的信息是静态的，并不会时时变更，
它只是在 minion 启动时收集到的；
（2）pillar：
pillar 和 grains 不一样，是在 master 上定义的，并且是针对 minion 定义的一些信息。像一些比较重要的数据（密码）可以存在 pillar 里，
还可以定义变量等；
（3）state：
它是saltstack的最核心功能，通过预先指定好的sls文件对被控主机进行管理：包/文件/网络配置/系统服务/系统用户等；
6、服务器分配：
本实验用的是saltstack的Master/Minion模式；
|
服务器名称 |
ip地址 |
|
controller-node1(主) |
172.16.1.90 |
|
slave-node1(从) |
172.16.1.91 |
4.2、软件安装：
1、安装saltstack yum源，主从一致：
[root@controller-node1 ~]# yum install https://repo.saltstack.com/yum/redhat/salt-repo-latest.el7.noarch.rpm
2、主节点安装salt-master：
[root@controller-node1 ~]# yum install salt-master
3、从节点安装slat-minion：
[root@slave-node1 ~]# yum install salt-minion
4.3、saltstack配置文件配置：
1、主节点：
[root@controller-node1 ~]# grep -Ev "^#|^$" /etc/salt/master
interface: 172.16.1.90
publish_port: 4505
#默认值；
user: root
#默认值；
ret_port: 4506
#默认值；
timeout: 15
#saltstack执行命令的超时时间，默认是5秒；
state_top: top.sls
#默认值；
file_roots:
base:
- /srv/salt/base
dev:
- /srv/salt/dev
test:
- /srv/salt/test
prod:
- /srv/salt/prod
pillar_roots:
base:
- /srv/pillar/base
dev:
- /srv/pillar/dev
test:
- /srv/pillar/test
prod:
- /srv/pillar/prod
[root@controller-node1 ~]# mkdir -p /srv/salt/{base,dev,test,prod}
[root@controller-node1 ~]# tree /srv/salt/
/srv/salt/
├── base
├── dev
├── prod
└── test
4 directories, 0 files
[root@controller-node1 ~]# mkdir -p /srv/pillar/{base,dev,test,prod}
[root@controller-node1 ~]# tree /srv/pillar/
/srv/pillar/
├── base
├── dev
├── prod
└── test
4 directories, 0 files
2、从节点：
[root@slave-node1 ~]# grep -Ev "^#|^$" /etc/salt/minion
master: 172.16.1.90
master_port: 4506
#默认值；
user: root
#默认值；
id: 172.16.1.91
4.4、启动saltstack服务并加入到开机自启动：
1、主节点：
[root@controller-node1 ~]# systemctl start salt-master
[root@controller-node1 ~]# systemctl enable salt-master
[root@controller-node1 ~]# netstat -tunlp | grep "45"
tcp 0 0 172.16.1.90:4505 0.0.0.0:* LISTEN 1962/python
tcp 0 0 172.16.1.90:4506 0.0.0.0:* LISTEN 1968/python
[root@controller-node1 ~]# lsof -ni:4505
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
salt-mast 12990 root 16u IPv4 64670 0t0 TCP 172.16.1.90:4505 (LISTEN)
salt-mast 12990 root 18u IPv4 68274 0t0 TCP 172.16.1.90:4505->172.16.1.91:60502 (ESTABLISHED)
2、从节点：
[root@slave-node1 ~]# systemctl start salt-minion.service
[root@slave-node1 ~]# systemctl enable salt-minion.service
[root@slave-node1 ~]# netstat -tunlp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1052/sshd
tcp6 0 0 :::22 :::* LISTEN 1052/sshd
[root@slave-node1 ~]# lsof -ni:4505
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
salt-mini 1888 root 21u IPv4 29671 0t0 TCP 172.16.1.91:60502->172.16.1.90:4505 (ESTABLISHED)
4.5、将从节点加入到主节点：
1、列出saltstack当前节点状况：
[root@controller-node1 ~]# salt-key -l all
Accepted Keys:
Denied Keys:
Unaccepted Keys:
172.16.1.91
Rejected Keys:
2、将从节点加入：
[root@controller-node1 ~]# salt-key -a 172.16.1.91 #支持通配符，比如 salt-key -a 172.*
The following keys are going to be accepted:
Unaccepted Keys:
172.16.1.91
Proceed? [n/Y] y
Key for minion 172.16.1.91 accepted.
[root@controller-node1 ~]# salt-key -l all
Accepted Keys:
172.16.1.91
Denied Keys:
Unaccepted Keys:
Rejected Keys:
3、补充：
1、saltstack salt-key动作命令(支持通配符)：
[root@controller-node1 ~]# salt-key --help
-l ARG：列出公钥；
pre、un和unaccepted将列出未接受公钥的minion；
acc或accepted将列出已接受公钥的minion；
rej或rejected将列出被拒绝接收公钥的minion；
den或denied将列出被拒绝接收公钥的minion；
all将列出所有键；
-L： --list-all列出所有公钥；
-a ACCEPT：接受指定minion的公钥，默认范围是Unaccepted Keys；
--include-rejected
--include-denied
-A：接受所有minion为未接受的公钥，默认范围是Unaccepted Keys；
--include-all #包括rejected和denied、unaccepted；
--include-rejected
--include-denied
-r REJECT：拒绝接受指定minion的公钥，默认范围是Unaccepted Keys；
--include-accepted
--include-denied
-R：拒绝所有minion的公钥，默认范围是Unaccepted Keys；
--include-all #包括accepted和denied、unaccepted；
--include-accepted
--include-denied
-p PRINT： 打印指定的minion的公钥，默认范围是所有区域；
-P：打印所有minion的公钥，默认范围是所有区域；
-d：DELETE：删除指定的minion的公钥，默认范围是所有区域；
-D：删除所有minion的公钥，默认范围是所有区域；
#删除的minion公钥会被放到Unaccepted Keys区域下；
2、saltstack master和minion的认证过程：
（1）master在第一次启动时会在/etc/salt/pki/(空目录)目录下生成master、minion两个目录，在master目录下会生成
master.pem(私钥)和master.pub(公钥)秘钥对和其它的目录；
（2）minion在第一次启动时会在/etc/salt/pki/(空目录)目录下生成master、minion两个目录，在minion目录下会生成
minion.pem(私钥)和minion.pub(公钥)秘钥对和其它的目录，并将自己的公钥发送给master；
（3）在未将minion注册到master时，minion的公钥会被放在master端的/etc/salt/pki/minions_pre/目录下并以
在minion配置文件中配置的id为名称，当minion加入到master后，minion的公钥会被放在master端的
/etc/salt/pki/minions/目录下，并将自己的公钥发送给minion，存放在minion的/etc/salt/pki/minion/目录下，这样便完
成了master和minion的认证，master和minion使用公钥和私钥进行加密，使用的是aes(高级加密标准)的加密算法，非常的
安全；
（4）如果minion配置文件中的id需要改变的解决办法：
1）停止minion服务；
2）在master端使用'salt-key -d <name>'删除公钥在master上；
提示：如果没有执行上面一步，即使删除了minion的公钥，那么minion也会将公钥发送给master
这样就会导致删不掉minion的公钥；
3）删除minion /etc/salt/pki/目录下的所有内容；
4）修改minion配置文件中的id；
5）启动minion服务；
（5）master和minion认证目录：
1）master：
[root@controller-node1 ~]# tree /etc/salt/pki/
/etc/salt/pki/
├── master
│ ├── master.pem
│ ├── master.pub
│ ├── minions
│ │ └── 172.16.1.91
│ ├── minions_autosign
│ ├── minions_denied
│ ├── minions_pre
│ └── minions_rejected
└── minion
2）minion：
[root@slave-node1 ~]# tree /etc/salt/pki/
/etc/salt/pki/
├── master
└── minion
├── minion_master.pub
├── minion.pem
└── minion.pub
（6）根据master和minion的认证原理，可以对master的/etc/salt/目录和/srv/目录进行备份，如果
出现master服务器损坏的情况下可以进行还原，还原步骤如下：
1）关闭salt-master服务：
[root@controller-node1 ~]# systemctl stop salt-master.service
2）还原备份的目录，在还原之前需要对现有的目录进行备份；
3）启动salt-master服务：
[root@controller-node1 ~]# systemctl start salt-master.service
3）忽略salt-master监听总线；
[root@controller-node1 ~]# salt '*' cmd.run 'uptime' --async
4）还原成功，可以正常使用；
4.6、常用远程执行命令；
1、远程命令格式：
命令 目标 模块 参数
2、常用命令：
（1）远程测试：
[root@controller-node1 ~]# salt '*' test.ping
#单引号表示转义，也可以使用\*或"*"
（2）cmd密令：
[root@controller-node1 ~]# salt '*' cmd.run 'uptime'
#cmd命令可以执行linux中一切的命令；
（3）软件安装命令：
[root@controller-node1 ~]# salt '*' pkg.install 'httpd'
（4）网络命令：
[root@controller-node1 ~]# salt '*' network.active_tcp
[root@controller-node1 ~]# salt '*' network.arp
[root@controller-node1 ~]# salt '*' network.connect 172.16.1.91 80
[root@controller-node1 ~]# salt '*' network.get_hostname
[root@controller-node1 ~]# salt '*' network.default_route
（4）服务命令：
[root@controller-node1 ~]# salt '*' service.get_enabled
[root@controller-node1 ~]# salt '*' service.get_disabled
[root@controller-node1 ~]# salt '*' service.start 'httpd'
[root@controller-node1 ~]# salt '*' service.reload 'httpd'
[root@controller-node1 ~]# salt '*' service.stop 'httpd'
[root@controller-node1 ~]# salt '*' service.status 'httpd'
（2）查看top.sls中使用的sls，只能查看/srv/salt/base/目录下的sls;
[root@controller-node1 ~]# salt '*' state.show_top
（3）远程拷贝命令：
[root@controller-node1 ~]# salt-cp '*' /etc/passwd /tmp/
4.7、配置管理：
1、yaml语法说明：
（1）yaml类似于xml文件；
（2）缩进：除第一层不用缩进外，每层之间是两个空格的缩进，不能使用tab键；
（3）冒号：除以冒号结尾或路径外，后面必须要有一个空格；
（4）短横线：表示列表，短横线后面必须要有一个空格；
（5）井号：表示注释；
2、编写安装apache服务的描述文件：
缺点：不自动化，执行时还需要通知哪台机器执行；
[root@controller-node1 ~]# mkdir /srv/salt/base/web/ -p
[root@controller-node1 ~]# vim /srv/salt/base/web/apache.sls
apache-install:
#id,随便写，但是必须要唯一;
pkg.installed:
#远程执行软件安装命令;
- name: httpd
#安装的软件名称;
apache-service:
service.running:
#远程执行软件服务命令;
- name: httpd
#启动httpd;
- enable: True
#将软件加入到开机自启动
#说明，以上配置从上到下依次执行，如果服务已完成则行;
[root@controller-node1 ~]# salt '172.16.1.91' state.sls web.apache
#默认环境是base，换环境需要加saltenv=prod；
3、编写自动化配置：
说明：使用top.sls自动化文件进行配置，该配置文件必须在/srv/salt/base/下面；
[root@controller-node1 ~]# vim /srv/salt/base/top.sls
base:
#调用base环境下的sls;
'172.16.1.91':
#允许哪些机器执行操作，支持通配符;
- web.apache
#sls的名称;
[root@controller-node1 ~]# salt '*' state.highstate
#虽然说是让所有的节点执行工作，但是如果top.sls中没有定义一些节点的执行内容，那么该节就不会执行命令，最小化原则；
4、配置文件执行测试(test=True)：
它会告诉你它会干什么，但是不会具体实施，颜色会不同；
[root@controller-node1 ~]# salt '172.16.1.91' state.sls web.apache test=True
[root@controller-node1 ~]# salt '*' state.highstate test=True
4.8、saltstack的数据存储系统Grains和pillar：
1、Grains和pillar的区别：
|
数据存储类型 |
存储位置 |
类型 |
采集方式 |
场景 |
|
Grains |
minion |
静态 |
minion启动时，可以手动刷新生效 |
1、获取信息 2、匹配 |
|
pillar |
master |
动态 |
指定，实时生效 |
1、敏感数据配置 2、匹配 |
2、Grains(谷粒)：
Grains存放着salt-minion启动时收集的信息，是静态的信息，在minion上设置，以key-value的形式保存且为明
文，用来保存隐秘的数据是不安全的，设置后需要同步minion上的grains才能生效，Grains应用场景为信息查询；
（1）获取所有的grains信息：
[root@controller-node1 ~]# salt '172.16.1.91' grains.items
（2）获取指定grains信息：
[root@controller-node1 ~]# salt '172.16.1.91' grains.get 'ip4_interfaces:eth1'
172.16.1.91:
- 172.16.1.91
[root@controller-node1 ~]# salt '*' grains.get 'serialnumber'
172.16.1.91:
VMware-56 4d df f4 02 29 4e 45-6f c7 af 78 9d ef a2 44
[root@controller-node1 ~]# salt '*' grains.get 'osrelease'
172.16.1.91:
7.5.1804
（3）远程执行中匹配目标，使用grains匹配minion(缺点：不能指定多个条件且不可控)：
[root@controller-node1 ~]# salt -G 'os:CentOS' cmd.run 'uptime'
172.16.1.91:
13:54:02 up 3:50, 1 user, load average: 0.00, 0.01, 0.05
#在所有的minion中grains值为'os:CentOS'的minion执行uptime命令；
（4）在top.sls中匹配使用：
[root@controller-node1 ~]# cat /srv/salt/base/top.sls
base:
'os:CentOS':
- match: grain
- web.apache
（5）grains的自定义需求：
1）在minion上创建grains文件：
[root@controller-node1 ~]# salt '172.16.1.91' cmd.run 'touch /etc/salt/grains'
2）在minion的grains文件中定义item项：
[root@controller-node1 ~]# salt '172.16.1.91' cmd.run 'echo "ip_eth1: 172.16.1.91" >/etc/salt/grains'
3）同步minion的grains：
[root@controller-node1 ~]# salt '172.16.1.91' saltutil.sync_grains
4）获取minion中自定义的item项：
[root@controller-node1 ~]# salt '172.16.1.91' grains.get 'ip_eth1'
172.16.1.91:
172.16.1.91
3、Pillar(柱)：
pillar和grains一样是saltstack一个重要的数据存储系统，以key-value形式保存数据，对数据进行了加密，很安全，
主要放一些敏感的数据，比如密码、变量，且只能在top.sls中使用，pillar是在master上设置的，且是针对minion定
义的一些信息，设置后立即生效；
（1）获取minion所有的pillar：
[root@controller-node1 ~]# salt '172.16.1.91' pillar.items
172.16.1.91:
----------
#默认没有是因为master的配置文件中'#pillar_opts: False'选项是没有开启的，不推荐打开；
（2）如何设置pillar：
1）编写pillar安装文件(minion分类)：
[root@controller-node1 ~]# cat /srv/pillar/base/apache.sls
{% if grains['os'] == 'CentOS' %}
#在pillar中引入grains进行参数判断;
apache: httpd
#key:apache，value:httpd(要安装的软件名称);
{% elif grains['os'] =='Debian' %}
apache: apache2
{% endif %}
2）编写top.sls文件(minion范围)：
[root@controller-node1 ~]# cat /srv/pillar/base/top.sls
base:
'172.16.1.91':
- apache
3）获取设置的pillar：
[root@controller-node1 ~]# salt '*' pillar.items
172.16.1.91:
----------
apache:
httpd
4）在状态文件中引用pillar(安装)：
[root@controller-node1 ~]# cat /srv/salt/base/web/apache.sls
apache-install:
pkg.installed:
- name: {{ pillar['apache'] }}
apache-service:
service.running:
- name: {{ pillar['apache'] }}
- enable: True
5）修改/srv/salt/base/top.sls(自动化)：
[root@controller-node1 ~]# cat /srv/salt/base/top.sls
base:
'*':
- web.apache
6）执行
[root@controller-node1 ~]# salt '*' state.highstate
7）说明：
test=True和top.sls中的grains匹配在pillar中正常使用；
4.9、将saltstack的返回值写到数据库：
1、在master上安装数据库：
[root@controller-node1 ~]# yum install -y mariadb-server
[root@controller-node1 ~]# systemctl start mariadb
[root@controller-node1 ~]# systemctl enable mariadb
2、配置slatstack库：
（1）创建库和表：
参考文档：https://docs.saltstack.com/en/latest/ref/returners/all/salt.returners.mysql.html
[root@controller-node1 ~]# mysql -uroot -p123456
MariaDB [(none)]>
CREATE DATABASE salt DEFAULT CHARACTER SET utf8 DEFAULT COLLATE utf8_general_ci;
USE salt;
CREATE TABLE `jids` (
`jid` varchar(255) NOT NULL,
`load` mediumtext NOT NULL,
UNIQUE KEY `jid` (`jid`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;
CREATE TABLE `salt_returns` (
`fun` varchar(50) NOT NULL,
`jid` varchar(255) NOT NULL,
`return` mediumtext NOT NULL,
`id` varchar(255) NOT NULL,
`success` varchar(10) NOT NULL,
`full_ret` mediumtext NOT NULL,
`alter_time` TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
KEY `id` (`id`),
KEY `jid` (`jid`),
KEY `fun` (`fun`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;
CREATE TABLE `salt_events` (
`id` BIGINT NOT NULL AUTO_INCREMENT,
`tag` varchar(255) NOT NULL,
`data` mediumtext NOT NULL,
`alter_time` TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
`master_id` varchar(255) NOT NULL,
PRIMARY KEY (`id`),
KEY `tag` (`tag`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;
MariaDB [salt]> show tables;
+----------------+
| Tables_in_salt |
+----------------+
| jids |
| salt_events |
| salt_returns |
+----------------+
3 rows in set (0.00 sec)
3、给库进行授权：
MariaDB [salt]> grant all on salt.* to salt@'172.16.1.%' identified by '123456';
MariaDB [salt]> flush privileges;
4、安装mysql的python模块：
[root@controller-node1 ~]# yum install -y MySQL-python
5、在master的配置文件中添加连接数据库的配置：
[root@controller-node1 ~]# vim /etc/salt/minion #部分配置修改；
cachedir: /var/cache/salt/master
#cache存储路径；
keep_jobs: 12
#mysql返回cache保存的时间，默认是24小时，建议改小，不然saltstack会占用磁盘；
#return: mysql
master_job_cache: mysql
mysql.host: '172.16.1.90'
mysql.user: 'salt'
mysql.pass: '123456'
mysql.db: 'salt'
mysql.port: 3306
6、重启salt-master：
[root@controller-node1 ~]# systemctl restart salt-master.service
7、测试：
[root@controller-node1 ~]# salt '172.16.1.91' cmd.run 'uptime' -v
Executing job with jid 20190729112956524977
-------------------------------------------
172.16.1.91:
11:29:56 up 1:09, 1 user, load average: 0.00, 0.01, 0.05
[root@controller-node1 ~]# salt-run jobs.lookup_jid 20190729112956524977
172.16.1.91:
11:29:56 up 1:09, 1 user, load average: 0.00, 0.01, 0.05
[root@controller-node1 ~]# mysql -uroot -p123456
MariaDB [salt]> select * from salt_returns\G;
*************************** 1. row ***************************
fun: cmd.run
jid: 20190729112956524977
return: " 11:29:56 up 1:09, 1 user, load average: 0.00, 0.01, 0.05"
id: 172.16.1.91
success: 1
full_ret: {"fun_args": ["uptime"], "jid": "20190729112956524977", "return": " 11:29:56 up 1:09, 1 user,
load average: 0.00, 0.01, 0.05", "retcode": 0, "success": true, "cmd": "_return", "_stamp": "2019-07-29T03:29:56.836808",
"fun": "cmd.run", "id": "172.16.1.91"}alter_time: 2019-07-29 11:29:56
8、补充：
（1）以上的mysql返回方法是master的返回，常用；
（2）在minion配置mysql返回，不常用：
1）在minion上安装MySQL-python：
[root@controller-node1 ~]# salt '*' pkg.install 'MySQL-python'
2）在minino的配置文件中添加如下参数：
[root@slave-node1 ~]# vim /etc/salt/minion
#return: mysql
mysql.host: '172.16.1.90'
mysql.user: 'salt'
mysql.pass: '123456'
mysql.db: 'salt'
mysql.port: 3306
2）在命令行使用'--return mysql参数指定返回'：
[root@controller-node1 ~]# salt '172.16.1.91' cmd.run 'uptime' --return mysql
4.10、
