Как мы построили отказоустойчивую open-source-инфраструктуру для управления пользовательскими Linux-устройствами

[A1EF]

Интересно услышать, чем не подошел SaltStack?

[MorozovVladislav]

В интернете есть много споров на эту тему и у каждого свое мнение, от себя могу добавить, что тут вопрос вкуса и удобства, ну и puppet вроде как имеет больше комьюнити.
Примерно одинаковые инструменты Chef (ruby) - Ansible (python), Puppet (ruby) - Salt (python)

[navion]

Интересны критерии отбора - у вас есть программисты на ruby и поэтому выбрали Puppet?

[il_l]

Спасибо за статью, тема мне довольно близка, поэтому появился ряд вопросов.

Расскажите, пожалуйста, чем отличается puppet-master от puppet-server в вашей конфигурации, если CA вынесен на отдельную машину? Как хосты попадают в Foreman? По результатам отчёта от Puppet, создаются там в ручную/скриптами или используете деплой хостов через Foreman? Как вы обеспечиваете однообразие и актуальность puppet-классов на разных puppet серверах?

[MorozovVladislav]

Чем отличается puppet-master от puppet-server в вашей конфигурации?

По структуре не чем не отличается, тут идет просто соединение всех puppet серверов через один мастер, чтобы server роль тоже ходила в мастер и синкалась.

Как хосты попадают в Foreman?

При заливки хоста через cloud-init выполняется коннект к puppet, а на каждой puppet ноде устанавливается foreman-proxy ( как я показал в статье ) и каждая прокси собирает данные о хостах и передает все на Foreman, а на там уже происходить управления хостами.

Как вы обеспечиваете однообразие и актуальность puppet-классов на разных puppet серверах?

Для этого и нужен git. На нем хранится манифесты и модули, которые одновременно при деплое разливаются на все сервера.

[il_l]

Спасибо. Если это не секрет фирмы и не под NDA, то как реализована доставка кода в puppet-server из git? При коммите в git, puppet-server сам узнаёт об этом и обновляет модули, или вы нажимаете deploy в ci-пайплайне и код отправляется на puppet-server?
У себя уже довольно давно изобретаем велосипеды на эту тему, пока всё сводится к тому, что пулим скриптом код из гита на каждом puppet-server и надеемся, что код доехал и доехал актуальный. Иногда возникают коллизии, но на этот случай прикрутили другой скрипт, который сверяет хеши коммита в модуле на puppet-server и в git.

[MorozovVladislav]

как реализована доставка кода в puppet-server из git

Схема не сложная, мы реализовали так:
- раннер подняли с докером
- используем ансибл докер который собирает папку code(/etc/puppetlabs/code) которая лежит в git и пушит ее на все сервера puppet рекурсивно (чтобы папка code на git была идентична папке на сервере)

[Oldju]

Мне для общего развития. У вас в рейдах вы видите состояние каждого отдельного диска какими средствами?

[MorozovVladislav]

Если вы про сервера puppet, то это виртуалки и рейдов там нет, если вы про агентов, то это в основном хосты без рейдов, потому что linux desktop, но вопрос интересный)
А вообще у foreman есть факты которые он собирает с хоста, то есть что видит хост то видит foreman, из этой логики скорее всего он не увидит рейд железный, но возможно увидит рейд программный.

[Oldju]

Я просто недавно отвечал в теме про сервера Линукс и выяснил этот момент. Я знаю вин и аппаратные средства НР. На уровне пятилетней давности. И для меня было открытые, что в коммерции на Линукс этот вопрос не решён в одном конкретном случае. Поэтому решил поспрашивать. У вас видимо тоже такой возможности нет. На массмаркетовом железе. Спасибо.

[JuriM]

Мне этот фореман очень запомнился тем что ломался после каждого обновления

[MorozovVladislav]

Мы пережили уже 3 полных обновления Foreman и ничего не сломалось. Возможно нужно проверить в мануалах правильность обновления

[dr_duke]

А ansible-pull кто нибудь пробовал? На серверах или десктопах?

[MorozovVladislav]

Мое мнение что тут будет проблема с ключами, ip (потому что на десктопах везде dhcp), ptr записями dns и ansible это система не конечного решения а постоянно изменяющийся конфигурации.

[JuriM]

Не слышал чтобы этот костыль кто-то использовал

[take]

статья немного суховата, вызывает ряд вопросов, но начну с опечатки:

На ноде СА подписываем все сертификаты puppet-ca.domain.ru

перепутаны list с sign

Теперь вопросы:

1. Правильно я понимаю, что ca-сервер нужен для выписки и подписания сертов нод и что авторизация и шифрование данных идут с их помощью?

2. По схеме Foreman вроде как работает со всеми тремя серверами puppet. Это как-то настраивается? В конфиге я увидел только одну строчку:
   server = puppet-master.domain.ru
   

   или все-таки Foreman работает с мастером, а уже мастер делится со slave-ами?

3. По схеме отказоустойчивый кластер баз данных на Postgres. С репликой все понятно, а вот как Master-Slave устроен? Хотя бы самые общие слова об этом решении. Там есть балансировка через dns/nginx-proxy ?

4. Puppet очевидно шифрует данные между нода - сервер, а как дело обстоит в связке puppet-server - PostgreSQL? Интересно.

Спасибо!

[MorozovVladislav]

Привет, поправил.

1. Да, именно так

2. Foreman работает со всеми 3 нодами через foreman-proxy "Дальше запускаем установку на Puppet-server:"

3. Мы в компании используем DBaaS, но если поднимать инфраструктуру самостоятельно, то по опыту оптимальная схема выглядит так: на мастер- и слейв-нодах разворачиваются Patroni, PostgreSQL, HAProxy, Keepalived и Etcd. На третьей ноде размещается только Etcd.

4. Puppet не как не относитяся к postgres, на схеме видно с postgresql работает только Foreman