puppet overview
安装以在Ubuntu server 14.04.2 TLS 为例：
[*] 设置机器名。 编辑/etc/host以修改主机名，因为puppet是基于证书的，证书中包含主机名；
[*] 更新包源。
[*]echo -e "deb http://apt.puppetlabs.com/ lucid main\ndeb-src http://apt.puppetlabs.com/ lucid main">>/etc/apt/sources.list.d/puppet.list
[*]对安装源进行一个检验。
更新失败时才需要执行该命令
[*]apt-key adv --keyserver keyserver.ubuntu.com --recv XXXXXXXX
[*]系统更新 和安装
[*]apt-get update && apt-get dist-upgrade
[*]在控制节点上安装puppetmaster：
[*]apt-get installpuppetmaster
[*]在客户端安装puppet：
[*]apt-get install puppet
[*]puppet会监听8140端口，如果puppetmaster开启了防火墙需要做以下配置
[*]iptables -A INPUT -p tcp --dport 8140-j ACCEPT
[*] 执行命令验证：
[*]netstat -lntup
root@master:/home/andy# netstat -lntup
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:8140 0.0.0.0: LISTEN 27918/ruby
tcp 0 0 0.0.0.0:22 0.0.0.0: LISTEN 21070/sshd
tcp6 0 0 :::8080 ::: LISTEN 1286/java
tcp6 0 0 :::22 ::: LISTEN 21070/sshd
tcp6 0 0 127.0.0.1:8005 :::* LISTEN 1286/java
[*] 验证
[*]在master上创建一个file资源
[*]客户端发起验证:
puppet agent --server xxxx(master) --test
[*]服务器完成验证：
puppet cert --list
pupper cert sign xxx(client)
[*]再次在客户端发起验证就可以看见验证成功了。
经验总结：
[*]Ubuntu 下安装很简单，不需要预先安装ruby等，系统更新后直接安装puppet；
[*]安装完后是不存在site.pp 文件的，需要创建：/etc/puppet/manifests/site.pp，作为站点的主模块配置文件。
一般的site.pp 很简单，引入Nodes节点下客户端文件即可
[*]import"nodes/*.pp"
[*]关于“模块”
/etc/puppet/manifests的文件结构：
[*]|-- nodes
[*]|`-- client.pp
[*]`-- site.pp
client.pp 说明客户节点client需要执行哪些模块。内容是：
[*]node 'client'
[*]{
[*] include stdlib
[*] include sysup
[*]}
上面说明节点“client”将会执行stdlib 和 sysup 这两个模块(或者称之为功能)。
上面说的模块，就是你需要puppet做的事情，比如拷贝文件，修改文件，安装package，执行命令等。
每件“事情”就是一个单独的“模块”。
[*]怎么定义“模块”？
首先来看文件结构：/etc/puppet/modules
[*].
[*]|-- ntp
[*]||-- files
[*]||-- manifests
[*]||`-- init.pp
[*]| `-- templates
[*]|-- sim
[*]||-- files
[*]||`-- simf.sh
[*]| `-- manifests
[*]|`-- init.pp
目录/etc/puppet/modules有很多子目录，每个子目录就是你要需要puppet做的一件事情，比如你要安装ntp, 那么你就需要创建一个ntp文件夹，该文件夹下又需要包含manifests(必须),files, templates这三个文件夹。
在manifests文件夹下，新建一个名叫init.pp 的文件（必须），这里将详细描述做这件事情的经过。比如 ntp 下的 init.pp:
[*]class ntp
[*]{
[*]package{
[*]"ntp":
[*]ensure=>installed,
[*]}
[*]}
注意：类名必须和模块名称一致！！！
[*]怎样让puppet 修改node上的文件呢？
一般的资源 file 只能用来创建，其content属性的内容将会 覆盖 已有文件的内容。
解决办法是给puppet安装stdlib。
[*]puppet module install puppetlabs-stdlib
然后使用 stdlib 中的 file_line 资源。 例如：
[*]file_line{"newline":
[*] path=>"/etc/apt/sources.list.d/cloudarchive-kilo.list",
[*] line=>"add a new line",
[*]}
具体可以参考：stdlib
[*]错误Could not request certificate: SSL_connect returned=1
[*]Error:Couldnot request certificate: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed:
出现这样的问题只能重新签发证书了，但是在master上删除证书后需要重启puppet才能生效！！
也要注意主从机器之间时间是否同步的问题。
[*]怎样自动签发证书
当客户节点增多时，每个节点向主节点申请证书似乎很愚蠢。
可以设置master自动签发所有的证书，我们只需要在/etc/puppet 目录下创建 autosign.conf 文件并添加下面内容。（不需要修改 /etc/puppet/puppet.conf文件，因为默认的autosign.conf 文件的位置没有修改）
[*]*.example.com
这样就会对所有来自 example.com 的机器的请求都自动签发证书，见参考
[*]创建user后无法登陆
使用user资源添加用户时，属性password不是明文，需要用工具grub-md5-crypt 来生成。
但需要安装 grub, 生成的password用单引号包裹:
[*]user{"andy":
[*]ensure=>"present",
[*] uid=>666,
[*] gid=>666,
[*] password=>'$1$PzftN$XANlscGctdGF3VjXH3k9q0',
[*] home=>"/home/andy",
[*] shell=>"/bin/bash",
[*] managehome=>true,
[*]}
[*]如何主动更新
节点每次更新都要运行 puppet agent --test, 但是如果上百上千台nodes怎么办？
可以采用puppet kick 这种 master主动推送更新并让node执行的方法。例如：
[*]puppet kick -p 10client1 client2 client3
设置很简单：
1. 在客户节点的puppet.conf中的段中添加 listen = true 和 server = MASTER_NAME; 2. 设置节点的防火墙准许在端口8139上接入；3.在节点的auth.conf的开头加入以下代码：
[*]# Allow puppet kick access
[*]path /run
[*]method save
[*]auth any
[*]allow workstation.example.com
上面代码的意思是准许主机（workstation.example.com）去触发一个puppet执行。当然你也可以用allow *准许任何主机触发puppet的执行。
关于主动更新，或者可以用 MCollective Puppet Agent。如何使用，需要更多的研究和实践。
来自为知笔记(Wiz)
页:
[1]