Как мы построили отказоустойчивую open-source-инфраструктуру для управления пользовательскими Linux-устройствами

[A1EF]

Интересно услышать, чем не подошел SaltStack?

[MorozovVladislav]

В интернете есть много споров на эту тему и у каждого свое мнение, от себя могу добавить, что тут вопрос вкуса и удобства, ну и puppet вроде как имеет больше комьюнити.
Примерно одинаковые инструменты Chef (ruby) - Ansible (python), Puppet (ruby) - Salt (python)

[navion]

Интересны критерии отбора - у вас есть программисты на ruby и поэтому выбрали Puppet?

[il_l]

Спасибо за статью, тема мне довольно близка, поэтому появился ряд вопросов.

Расскажите, пожалуйста, чем отличается puppet-master от puppet-server в вашей конфигурации, если CA вынесен на отдельную машину? Как хосты попадают в Foreman? По результатам отчёта от Puppet, создаются там в ручную/скриптами или используете деплой хостов через Foreman? Как вы обеспечиваете однообразие и актуальность puppet-классов на разных puppet серверах?

[MorozovVladislav]

Чем отличается puppet-master от puppet-server в вашей конфигурации?

По структуре не чем не отличается, тут идет просто соединение всех puppet серверов через один мастер, чтобы server роль тоже ходила в мастер и синкалась.

Как хосты попадают в Foreman?

При заливки хоста через cloud-init выполняется коннект к puppet, а на каждой puppet ноде устанавливается foreman-proxy ( как я показал в статье ) и каждая прокси собирает данные о хостах и передает все на Foreman, а на там уже происходить управления хостами.

Как вы обеспечиваете однообразие и актуальность puppet-классов на разных puppet серверах?

Для этого и нужен git. На нем хранится манифесты и модули, которые одновременно при деплое разливаются на все сервера.

[il_l]

Спасибо. Если это не секрет фирмы и не под NDA, то как реализована доставка кода в puppet-server из git? При коммите в git, puppet-server сам узнаёт об этом и обновляет модули, или вы нажимаете deploy в ci-пайплайне и код отправляется на puppet-server?
У себя уже довольно давно изобретаем велосипеды на эту тему, пока всё сводится к тому, что пулим скриптом код из гита на каждом puppet-server и надеемся, что код доехал и доехал актуальный. Иногда возникают коллизии, но на этот случай прикрутили другой скрипт, который сверяет хеши коммита в модуле на puppet-server и в git.

[MorozovVladislav]

как реализована доставка кода в puppet-server из git

Схема не сложная, мы реализовали так:
- раннер подняли с докером
- используем ансибл докер который собирает папку code(/etc/puppetlabs/code) которая лежит в git и пушит ее на все сервера puppet рекурсивно (чтобы папка code на git была идентична папке на сервере)

[Oldju]

Мне для общего развития. У вас в рейдах вы видите состояние каждого отдельного диска какими средствами?

[MorozovVladislav]

Если вы про сервера puppet, то это виртуалки и рейдов там нет, если вы про агентов, то это в основном хосты без рейдов, потому что linux desktop, но вопрос интересный)
А вообще у foreman есть факты которые он собирает с хоста, то есть что видит хост то видит foreman, из этой логики скорее всего он не увидит рейд железный, но возможно увидит рейд программный.

[Oldju]

Я просто недавно отвечал в теме про сервера Линукс и выяснил этот момент. Я знаю вин и аппаратные средства НР. На уровне пятилетней давности. И для меня было открытые, что в коммерции на Линукс этот вопрос не решён в одном конкретном случае. Поэтому решил поспрашивать. У вас видимо тоже такой возможности нет. На массмаркетовом железе. Спасибо.

[JuriM]

Мне этот фореман очень запомнился тем что ломался после каждого обновления

[MorozovVladislav]

Мы пережили уже 3 полных обновления Foreman и ничего не сломалось. Возможно нужно проверить в мануалах правильность обновления

[dr_duke]

А ansible-pull кто нибудь пробовал? На серверах или десктопах?

[MorozovVladislav]

Мое мнение что тут будет проблема с ключами, ip (потому что на десктопах везде dhcp), ptr записями dns и ansible это система не конечного решения а постоянно изменяющийся конфигурации.

[JuriM]

Не слышал чтобы этот костыль кто-то использовал