puppet master --compile nodename |
hiera -c /etc/puppet/hiera.yaml apt::sources ::fqdn="puppetnode.example.net" |
Weitere Variablen kann man einfach so wie den fqdn auch übergeben:
hiera -c /etc/puppet/hiera.yaml apt::sources ::fqdn="puppetnode.example.net" ::provider="foobar" |
Der dritte Teil beschaeft sich damit, wie man pro Node in Hiera eine eigene Konfigurationsdatei anlegen kann sowie mit Klassen denen Parameter uebergeben werden. Er baut auf den beiden vorherigen Hiera-Blogeintraegen (1 und 2) auf. Grundsaetzlich ist vorneweg zu sagen, dass das ganze mit Puppet 3 fuer eigene Module bedeutend einfacher ist, da dort Hiera und vor allem das autolookup bereits integriert ist. In Puppet 2.7 muss man fuer die gleiche Funktionalitaet eine Kruecke bauen, doch dazu spaeter mehr.
Zuerst wird die Hiera Konfiguration erweitert, so das pro Node eine eigene Konfigurationsdatei moeglich ist. Diese sollen unter hieradata/nodes/ liegen und dafuer in der die hiera.yaml die hierarchy Sektion wie folgt erweitern:
:hierarchy: - common - nodes/%{fqdn} |
Danach den neuen Ordner anlegen:
mkdir /etc/puppet/hieradata/nodes/ |
In Puppet 2.7 und Puppet 3 gibt es nun Unterschiede. Das haengt mit dem automatischen Parameterlookup zusammen der in Puppet 3 integriert ist, in Puppet 2.7 aber nicht. An der Hiera Konfiguration aendert sich nichts, aber die Module die ich bisher vorgestellt hatte muessen angepasst werden. Damit sich diese unter Puppet 2.7 genauso verhalten wie unter 3, muss man wie in der verlinkten Dokumentation die Parameter mit einer Hiera-Suche und Defaultparametern modifizieren.
Wie die Anpassung geht und wie man die das ganze in Hiera abbildet moechte ich im folgenden Anhand des apt-Moduls, das ich im Blogeintrag Puppet: ein Modul mit Template, Variablen und Bedingung (/etc/apt/sources.list) vorgestellt habe., zeigen.
Die init.pp wurde wie folgt geaendert:
class apt ( $mirror = hiera('apt::mirror', 'http://ftp.de.debian.org'), $release = hiera('apt::release', 'wheezy'), $source = hiera('apt::source', false), ) { file { '/etc/apt/sources.list': ensure => 'present', owner => 'root', group => 'root', mode => '0644', content => template('apt/sources.list.erb'), } } |
Das Modul hatte ich wie folgt im Node eingebunden:
node 'client02.example.org' inherits default { class { 'apt': mirror => 'http://debianmirror.example.org/pub/linux/debian/debian/', source => true } } |
Die Einbindung erfolgt nun ueber die Datei hieradata/nodes/client02.example.org.yaml:
--- classes: apt apt::mirror: http://debianmirror.example.org/pub/linux/debian/debian/ apt::source: true |
Danach kann die komplette Nodekonfiguration aus der site.pp geloescht werden.
Ich stand vor der Frage, wie ich auf allen puppet Nodes die /etc/puppet/puppet.conf editiere. Dabei sollten zwei Eintraege sichergestellt sein:
Kurz habe ich ueberlegt ob ich die Datei selbst ueber puppet verteilen soll. Dann wurde ich aber auf Augeas gestossen. Augeas ist ein Tool, das ueber sogenannte Linsen (lenses) verschiedene Konfigurationsdateien in einer baum-Struktur darstellen und bearbeiten kann. Puppet hat Augeas ueber die Ruby Language Bindings bereits integriert. Es ist also problemlos moeglich damit die puppet.conf zu editieren. Hier meine Loesung aus der Klasse:
augeas { 'puppet.conf': context => '/files/etc/puppet/puppet.conf', changes => [ 'set main/pluginsync true', 'set agent/report true', ], notify => Service['puppet'], } service { 'puppet': ensure => 'running', } |
und so sieht es aus wenn es denn durchlaeuft:
notice: Augeas[puppet.conf](provider=augeas): --- /etc/puppet/puppet.conf 2014-05-23 20:30:48.000000000 +0200 +++ /etc/puppet/puppet.conf.augnew 2014-05-23 20:30:54.000000000 +0200 @@ -8,9 +8,12 @@ prerun_command=/etc/puppet/etckeeper-commit-pre postrun_command=/etc/puppet/etckeeper-commit-post +pluginsync=true [master] # These are needed when the puppetmaster is run by passenger # and can safely be removed if webrick is used. ssl_client_header = SSL_CLIENT_S_DN ssl_client_verify_header = SSL_CLIENT_VERIFY +[agent] +report=true notice: /Stage[main]/Basics/Augeas[puppet.conf]/returns: executed successfully info: /Stage[main]/Basics/Augeas[puppet.conf]: Scheduling refresh of Service[puppet] notice: /Stage[main]/Basics/Service[puppet]: Triggered 'refresh' from 1 events |
Weitere Moeglichkeiten wie immer in der entsprechenden Puppet Type Reference.
Ich habe gerade ueber virtuelle Ressourcen fuer Benutzer und public SSH-Keys geschrieben. Nach dem gleichen Schema kann man natuerlich auch virtuelle Ressourcen fuer Gruppen erzeugen. Wofuer man das ganze in der Praxis brauchen kann moechte ich an dem folgenden Beispiel erklaeren.
Das ganze basiert auf dem Beispielmodul users aus dem Beitrag Puppet: Virtuelle Ressourcen fuer Benutzer und SSH-Keys. Dort habe ich naemlich fuer den Benutzer mmuster die Gruppe wheel konfiguriert.
Mit Puppet kann ich nun in einem eigenen Modul sehr simpel sicherstellen, dass diese Gruppe auch existiert. Mein Modul groups sieht wie folgt aus:
└── manifests
├── init.pp
├── virtual.pp
└── wheel.pp |
Und auch der Aufbau der drei Dateien sind genau wie die in dem users Modul, nur viel einfacher:
class groups () { include groups::virtual } |
class groups::virtual { @group { 'wheel': ensure => 'present', } } |
class groups::wheel inherits groups::virtual { realize( Group['wheel'] ) } |
Um sicherzustellen, dass die Gruppe wheel auch wirklich existiert, erweitere ich nun die Klasse mmuster.pp aus dem Beispiel des anderen Beitrags um einen include fuer die Gruppe wheel. Das ganze sieht dann wie folgt aus:
class users::mmuster inherits users::virtual { include groups::wheel realize( User['mmuster'], Ssh_authorized_key['mmuster-privat'] ) } |
Ich mache das ganze natuerlich nicht einfach nur um den Benutzer in irgendeine Gruppe zu packen, sondern die Gruppe soll auch spezielle Berechtigungen erhalten: root Rechte erlangen ohne Passworteingabe. Dieses realisiere ich ueber sudo. Dafuer habe ich ebenfalls ein eigenes Modul „sudoers“ und darin wiederum die Klasse „wheel“. Diese sieht wie folgt aus:
class sudoers::wheel { include groups::wheel file { '/etc/sudoers.d/60_wheel': ensure => 'present', source => 'puppet:///modules/sudoers/etc/sudoers.d/60_wheel', owner => 'root', group => 'root', mode => '0440' } } |
Der zweite Ort an dem die Gruppe wheel konfiguriert ist. Spaetestens jetzt wuerde es zu Problemen kommen, wenn die Klasse wheel aus dem sudoers Modul UND der Nutzer mmuster zusammen auf einem Node konfiguriert sind. Mit den virtuellen Ressourcen hingegen klappt es.
Ach so, die /etc/sudoers.d/60_wheel sieht uebrigens so aus:
############################################################################# # # # !!! This file is managed by puppet, all manual changes will be lost !!! # # # ############################################################################# # # Members of the wheel group may gain root privileges without password # %wheel ALL = (ALL) NOPASSWD: ALL |