在 CentOS 6.2 上安装 Puppet 配置管理工具
2012年03月6日 | 标签: centos, chef, puppet | 作者：vpsee
云计算时代系统管理员会经常陷入一系列的重复任务中，创建虚拟机，安装或重装系统，升级软件包，管理配置文件，添加、管理和配置系统服务等。这些任务低效而且无聊，我们需要把他们自动化，于是就出现了系统管理员自己写的脚本，用定制脚本实现自动化，但是自己写的脚本要保证能顺利运行在不同的平台上不是一件轻松的工作，每次操作系统更新都需要重新测试定制脚本，耗费大量时间和精力，灵活性和功能也很难保证。而且脚本语言虽然简单，但是自己写的脚本不一定别的管理员就能马上看懂，有时候自己看别人写的脚本或代码不是一件愉快的事情。所以出现了类似 Puppet, Chef 这样的自动化配置管理工具。为啥 Linode 只有19人就能应付上千服务器上万用户，这就是自动化带来的好处。
Puppet 是一个客户端/服务器（C/S）架构的配置管理工具，在中央服务器上安装 puppet-server 服务器（puppet master），在需要被管理的目标服务器上安装 puppet 客户端软件（puppet client）。当客户端连接上服务器后，定义在服务器上的配置文件会被编译，然后在客户端上运行。客户端每隔半小时主动会和服务器通信一次，确认配置信息的更新情况，如果有新的配置信息（或者配置有变化），配置文件将会被重新编译并分发到客户端执行。当然，也可以在服务器上主动触发更新指令来强制各客户端进行配置更新。
以下安装采用两台服务器，一台是 master.vpsee.com 用来安装 puppet-server 服务；一台是 client.vpsee.com 用来安装 puppet 客户端。
Puppet 要求所有机器有完整的域名（FQDN），如果没有 DNS 服务器提供域名的话，可以在两台机器上设置主机名（注意要先设置主机名再安装 Puppet，因为安装 Puppet 时会把主机名写入证书，客户端和服务端通信需要这个证书）：
# vi /etc/hosts 192.168.2.10 master master.vpsee.com 192.168.2.11 client client.vpsee.com
Puppet 要求所有机器上的时钟保持同步，所以需要安装和启用 ntp 服务（如果采用 CentOS-6.2-x86_64-minimal.iso 最小化安装，需要额外安装这个软件包）。
# yum install ntp # chkconfig ntpd on # ntpdate pool.ntp.org 29 Feb 15:22:47 ntpdate[15867]: step time server 196.25.1.1 offset 98.750417 sec # service ntpd start Starting ntpd: [ OK ]
安装 puppet 服务
Puppet 需要 Ruby 的支持，如果要查看命令行帮助的话需要额外 ruby-rdoc 这个软件包：
# yum install ruby ruby-libs ruby-rdoc
Puppet 不在 CentOS 的基本源中，需要加入 PuppetLabs 提供的官方源：
# yum -y install wget # wget http://yum.puppetlabs.com/el/6/products/x86_64/puppetlabs-release-6-1.noarch.rpm # yum install puppetlabs-release-6-1.noarch.rpm # yum update
在 master 上安装和启用 puppet 服务：
# yum install puppet-server # chkconfig puppet on # service puppetmaster start Starting puppetmaster: [ OK ]
关闭 iptables：
# /etc/init.d/iptables stop iptables: Flushing firewall rules: [ OK ] iptables: Setting chains to policy ACCEPT: filter [ OK ] iptables: Unloading modules: [ OK ]
安装 puppet 客户端
在 client 上安装 puppet 客户端：
# yum install puppet
Puppet 客户端使用 HTTPS 和服务端（master）通信，为了和服务器端通信必须有合法的 SSL 认证，第一次运行 puppet 客户端的时候会生成一个 SSL 证书并指定发给 Puppet 服务端。
# puppet agent --no-daemonize --onetime --verbose --debug --server=master.vpsee.com
Puppet 服务端接受到客户端的证书后必须签字（sign）才能允许客户端接入，sign 后用 puppet cert list –all 查看会发现 client.vpsee.com 前面多了一个 + 后，表示 “加入” 成功：
# puppet cert list --all client.vpsee.com (65:3C:20:82:AE:F6:23:A8:0A:0B:09:EF:05:64:1D:BB) + master.vpsee.com (AF:A0:32:78:D4:EB:D3:EE:02:1C:62:1C:83:3C:46:EC) (alt names: DNS:master, DNS:master.vpsee.com) # puppet cert --sign client.vpsee.com notice: Signed certificate request for client.vpsee.com notice: Removing file Puppet::SSL::CertificateRequest client.vpsee.com at '/var/lib/puppet/ssl/ca/requests/client.vpsee.com.pem' # puppet cert list --all + client.vpsee.com (65:3C:20:82:AE:F6:23:A8:0A:0B:09:EF:05:64:1D:BB) + master.vpsee.com (AF:A0:32:78:D4:EB:D3:EE:02:1C:62:1C:83:3C:46:EC) (alt names: DNS:master, DNS:master.vpsee.com)
这样，客户端和服务端就配置好了，双方可以通信了。
Hello, world
现在可以在服务端写个小例子来测试一下。这个例子作用很简单，用来在客户端的 /tmp 目录下新建一个 helloworld.txt 文件，内容为 hello, world. 在服务端编写代码：
# vi /etc/puppet/manifests/site.pp
node default {
file {
"/tmp/helloworld.txt": content => "hello, world";
}
}
在客户端上执行 puppet，运行成功后会在 /tmp 看到新生成的 helloworld.txt：
$ puppet agent --test --server=master.vpsee.com
warning: peer certificate won't be verified in this SSL session
info: Caching certificate for client.vpsee.com
info: Caching certificate_revocation_list for ca
info: Caching catalog for client.vpsee.com
info: Applying configuration version '1330668451'
notice: /Stage[main]//Node[default]/File[/tmp/helloworld.txt]/ensure: defined content as '{md5}e4d7f1b4ed2e42d15898f4b27b019da4'
info: Creating state file /home/vpsee/.puppet/var/state/state.yaml
notice: Finished catalog run in 0.03 seconds
$ cat /tmp/helloworld.txt
hello, world
如果想偷懒，可以直接使用 Example42 的开源 Puppet 模块。
請問你這個script 是用bash寫得嗎？還有就是puppet是否會自己根據不同的客戶端主機來修改你的script以利在所有的客戶端主機執行？
謝謝
@Henry
这里没有 bash script 啊。puppet 会按照配置文件的要求判断不同的客户端主机，然后做不同的操作。
@vpsee
抱歉，我指的是site.pp 這個檔案，這個scrip是用哪個語言寫的？還是那是puppet專用語？
@Henry
puppet 自己的配置语言。
puppet用的ruby
yum install puppetlabs-release-6-1.noarch.rpm
应该是rpm -ivh puppetlabs-release-6-1.noarch.rpm
@sole
可以 yum install
# wget http://yum.puppetlabs.com/el/6/products/x86_64/puppetlabs-release-6-1.noarch.rpm
# yum install puppetlabs-release-6-1.noarch.rpm
可以 rpm -ivh
# rpm -ivh puppetlabs-release-6-1.noarch.rpm
也可以直接 yum install
# yum install http://yum.puppetlabs.com/el/6/products/x86_64/puppetlabs-release-6-1.noarch.rpm
Hi,我最近在学习puppet，有两个疑问：
1.matser使用什么命令可以更新所有client端？
2.42 puppet模块中好多文件夹都是空的，是怎么回事呢？
这里 yum install ruby ruby-lib ruby-rdoc 有问题，应该把ruby-lib修改为ruby-libs
–> Finished Dependency Resolution
Error: Package: rubygem-json-1.5.5-1.el6.x86_64 (puppetlabs-deps)
Requires: rubygems
You could try using –skip-broken to work around the problem
You could try running: rpm -Va –nofiles –nodigest
这个报错怎么解决啊，rubygems已经安装了，但是还是报错！
Hi，，安装文章里的配置。在最后一步出错了。我执行
puppet agent –test –server=master.vpsee.com 就出现下面的错误。
Error: Could not send report: Server hostname ‘master.vpsee.com’ did not match server certificate; expected one of server.localdomain, DNS:puppet, DNS:puppet.localdomain, DNS:server.localdomain
请教一下为什么会这样!
我没有安装时间同步服务
@tommy
确定你有 dns 服务器，并且 client 可以通过 dns 域名访问 master。如果没有 dns 服务器的话把主机名硬写到 /etc/hosts 里面也可以。
Hi @vpsee
我现在就是把主机名硬写到/etc/hosts文件中的。但我不清楚DNS为什么会去找server.localdomain
我的hosts文件如下。
127.0.0.1 localhost localhost.localdomain localhost4 localhost4.localdomain4 server
::1 localhost localhost.localdomain localhost6 localhost6.localdomain6
192.168.56.181 master master.vpsee.com
192.168.56.182 client client.vpsee.com
解决了，问题应该是出在/etc/hosts中的主机名上，我在hosts文件中加了一个“server”，/etc/sysconfig/network中的主机名也是server，而hosts配置的又是
192.168.56.181 master master.vpsee.com
192.168.56.182 client client.vpsee.com
导致主机名和ip不匹配。
请问一下，为什么用puppet cert list –all命令得出来结果中，会多余一条master.localdomain的记录，在昨天刚弄好时，是没有这条记录的。在hosts文件中只有
192.168.56.195 master master.vpsee.com
192.168.56.196 client client.vpsee.com
192.168.56.197 client3 client3.vpsee.com
/etc/sysconfig/network文件中也分别改了主机名为master.vpsee.com，client.vpsee.com，
client3.vpsee.com
———————————————————————
[root@master ~]# puppet cert list –all
+ “client.vpsee.com” (54:B4:9B:FE:E5:C4:28:28:3B:FE:CB:FA:9A:70:43:4D)
+ “client3.vpsee.com” (A5:B8:8D:EF:0D:DC:04:C0:FE:07:5D:0E:4F:1E:D4:F2)
+ “master.localdomain” (51:5D:88:C2:8E:E8:37:79:F1:6E:2E:45:3A:C5:C8:9F) (alt names: “DNS:master.localdomain”, “DNS:puppet”, “DNS:puppet.localdomain”)
+ “master.vpsee.com” (3E:70:21:6F:03:C2:0E:45:A0:D9:3D:1A:B5:64:23:B4) (alt names: “DNS:master.vpsee.com”, “DNS:puppet”, “DNS:puppet.vpsee.com”)
[root@master ~]# reboot
——————————————————————–
好像因为这条多余的master.localdoamin记录，在执行puppet agent –test –server=master.vpsee.com命令时，就出错了，但是在昨天刚弄好时，是没有这样的错误的。
[root@client3 ~]# puppet agent –test –server=master.vpsee.com
err: Could not retrieve catalog from remote server: hostname not match with the server certificate
warning: Not using cache on failed catalog
err: Could not retrieve catalog; skipping run
err: Could not send report: hostname not match with the server certificate
[root@client3 ~]# date
Thu Oct 10 10:53:30 CST 2013
@txtstyle
你可能在编辑 /etc/hosts 之前在 master 上调用了一次 puppet agent，导致 master 使用了自己的 hostname（master.localdomain）。使用 puppet cert clean master.localdomain 删除即可。