1.  概述

puppet是一個開源的軟體自動化配置和部署工具，它使用簡單且功能強大，正得到了越來越多地關注，現在很多大型IT公司均在使用puppet對叢集中的軟體進行管理和部署，如google利用puppet管理超過6000臺地mac桌面電腦（2007年資料）。

本文主要介紹puppet安裝方法，設計架構及使用方法。

2.  設計架構

puppet是基於c/s架構的。伺服器端儲存著所有對客戶端伺服器的配置程式碼，在puppet裡面叫做manifest. 客戶端下載manifest之後，可以根據manifest對伺服器進行配置，例如軟體包管理，使用者管理和檔案管理等等。

如上圖所示，puppet的工作流程如下：（1）客戶端puppetd呼叫facter，facter探測出主機的一些變數，例如主機名，記憶體大小，ip地址等。pupppetd 把這些資訊通過ssl連線傳送到伺服器端； （2）伺服器端的puppetmaster 檢測客戶端的主機名，然後找到manifest裡面對應的node配置， 並對該部分內容進行解析，facter送過來的資訊可以作為變數處理，node牽涉到的程式碼才解析，其他沒牽涉的程式碼不解析。解析分為幾個階段，語法檢查，如果語法錯誤就報錯。如果語法沒錯，就繼續解析，解析的結果生成一箇中間的“虛擬碼”，然後把虛擬碼發給客戶端；（3）客戶端接收到“虛擬碼”，並且執行，客戶端把執行結果傳送給伺服器；（4）伺服器端把客戶端的執行結果寫入日誌。

puppet工作過程中有兩點值得注意，第一，為了保證安全，client和master之間是基於ssl和證書的，只有經master證書認證的client可以與master通訊；第二，puppet會讓系統保持在你所期望的某種狀態並一直維持下去，如檢測某個檔案並保證其一直存在，保證ssh服務始終開啟，如果檔案被刪除了或者ssh服務被關閉了，puppet下次執行時（預設30分鐘），會重新建立該檔案或者啟動ssh服務。

3.  軟體安裝

不推薦使用apt-get命令進行安裝，因為該命令下載的puppet存在bug。可直接從原始碼進行安裝，需要安裝的軟體有ruby，facter和puppet。

3.1   安裝步驟

編輯/etc/host以修改主機名，因為puppet是基於證書的，證書中包含主機名；

在master和slave上依次安裝ruby、facter和puppet，安裝facter和puppet時，要使用ruby install.rb。

3.2    安裝後的目錄結構

(1)    安裝目錄

安裝目錄預設存為/etc/puppet，該目錄下的manifests存放manifest檔案。

其他可執行檔案在/user/sbin下，主要有：

puppet： 用於執行使用者所寫獨立的mainfests檔案，如：

puppet -l /tmp/manifest.log manifest.pp

puppetd： 執行在被管理主機上的客戶端程式，如：

puppet –server servername –waitforcert 60

puppetmasterd：執行在管理機上的伺服器程式，如：

puppetmasterd –debug

puppetca puppet認證程式，主要用於對slave的證書進行認證，如：

檢視需認證的slave：puppetca –list

對這些slave進行認證：puppetca -s –a

puppetrun 用於連線客戶端，強制執行本地配置檔案，如：

puppetrun -p 10 –host host1 –host host2 -t remotefile -t webserver

(2)    配置檔案

puppet.conf

Puppet的主配置檔案，如果是root使用者，配置檔案為/etc/puppet/puppet.conf，普通使用者，配置檔案為：~user/.puppet/puppet.conf

具體配置引數，參見：

fileserver.conf

3.3   驗證安裝是否成功

選定一個slave與master進行驗證，假設slave的host為slave00，master的host為masterhost，在slave00上輸入：

puppetd –test –server servername

然後在masterhost上檢視待認證的slave：

puppetca –list

如果沒問題的話，此時可以看到slave00，對該slave的證書進行簽名：

puppetca -s -a

這樣slave00通過了證書驗證，可以與master進行進一步互動了。

在masterhost的/etc/puppet/manifests目錄下編寫site.pp檔案，內容如下：

node default {

file {

“/tmp/test”:

content=>”hello\n”,

mode => 0644;

}

}

同時在slave00上輸入：puppetd –test –server servername， 檢視slave00的/tmp資料夾，生成了一個新檔案test，裡面的內容是hello，該檔案的許可權是-rw-r—r—。這樣，便證明puppet安裝成功，如果出現錯誤，檢視第六節。

4.  配置指令碼編寫

本節介紹puppet的配置指令碼編寫方法，主要是指puppet的manifest編寫方法。puppet把需要管理的內容抽象成為資源，每種資源有不同的屬性，因此puppet語言就是描述這些資源的屬性以及資源之間關係的語言。

為了便於管理，puppet將資源模組化，即每個功能模組的manifest單獨放在一個目錄下。每個模組包含一個主要的manifest檔案（init.pp，它是模組的入口，類似於C語言中的main函式），裡面包含若干個class對該模組的資源進行封裝，常見的資源有file，package，service等，每種資源由自己的屬性，如file有屬性name，owner，mode等。

本節主要介紹puppet中manifest的編寫方法，將依次介紹資源屬性，資源，節點管理，函式和模組的編寫方法。

4.1   資源屬性

資源屬性有兩種，一種是資源專屬屬性，另一種是資源共同屬性，對於資源專屬屬性，將在下一節介紹；而資源共同屬性是所有資源共有的屬性，主要有：

before

用於控制不同物件（資源）的執行順序關係，表示某個物件（資源）在另一個物件之後發生（require與之相反，它表示之前發生）。如：

file { “/var/nagios/configuration”:

source  => “…”,

recurse => true,

before => Exec["nagios-rebuid"]

}

exec { “nagios-rebuild”:

command => “/usr/bin/make”,

cwd => “/var/nagios/configuration”

}

這段程式碼保證用make編譯之前，所有程式碼都是最新的。也可以before多個資源，如：

before => [ File["/usr/local"], File["/usr/local/scripts"] ]

subscribe

檢測某個資源，當它發生變化時，該資源會重新載入，如：

class nagios {

file { “/etc/nagios/nagios.conf”:

source => “puppet://server/module/nagios.conf”,

alias => nagconf # just to make things easier for me

}

service { nagios:

ensure => running,

subscribe => File[nagconf]

}

}

當檢測到檔案nagconf被修改時，服務nagios會相應的更新。需要注意的是，目前支援subscribe的資源只有exec，service和mount。

4.2   資源

常用的資源主要有以下幾個：

file：檔案管理

package：軟體包管理

service：系統服務管理

cron：配置定期任務

exec：執行shell命令

(1)    file資源

(2)    package資源

(3)    service資源

(4)    exec資源

(5)    cron資源

4.3   節點管理

puppet如何區分不同的客戶端，並且給不同的服務端分配manifest呢？puppet使用node資源做這件事情，node 後面跟客戶端的主機名，例如：

node ‘ slave00 ‘ {

include ssh

}

node ‘ slave11 ‘ {

$networktype=”tele”

$nagioscheckport=”80,22,3306″

include apache, mysql, php

}

資源node中可使用變數，也可直接通過include把其他manifest包含進來。

4.4   類和函式

函式（在puppet中稱為“defination”）可以把多個資源包裝成一個資源，或者把一個資源包裝成一個模型，便於使用。例如，在debian裡面管理一個apache虛擬機器非常簡單,把一個虛擬主機的配置檔案放到/etc/sites-available/裡面,然後做一個符號連結到/etc/sites-enabled目錄。 你可以為你每個虛擬主機複製同樣的配置程式碼，但是如果你使用下面的程式碼就會更好和更簡單：

define virtual_host($docroot, $ip, $order = 500, $ensure = “enabled”) {

$file = “/etc/sites-available/$name.conf”

# The template fills in the docroot, ip, and name.

file { $file:

content => template(“virtual_host.erb”),

notify  => Service[apache]

}

file { “/etc/sites-enabled/$order-$name.conf”:

ensure => $ensure ? {

enabled  => $file,

disabled => absent

}

}

}

然後,你就可以使用這個定義來管理一個apache虛擬主機，如下面程式碼所示：

virtual_host { “reductivelabs.com”:

order   => 100,

ip      => “192.168.0.100″,

docroot => “/var/www/reductivelabs.com/htdocs”

}

4.5   模組

一個模組就是一個/etc/puppet/modules目錄下面的一個目錄和它的子目錄，在puppet的主檔案site.pp裡面用import modulename可以插入模組。新版本的puppet可以自動插入/etc/puppet/modules目錄下的模組。引入模組，可以結構化程式碼，便於分享和管理。例如關於apache的所有配置都寫到apache模組下面。一個模組目錄下面通常包括三個目錄：files，manifests，templates。manifests 裡面必須要包括一個init.pp的檔案，這是該模組的初始（入口）檔案，匯入一個模組的時候，會從init.pp開始執行。可以把所有的程式碼都寫到init.pp裡面，也可以分成多個pp檔案，init 再去包含其他檔案。files目錄是該模組的檔案釋出目錄，puppet提供一個檔案分發機制，類似rsync的模組。templates 目錄包含erb模型檔案，這個和file資源的template屬性有關。

puppet安裝好以後，modules目錄是沒有的，自己建立一個就行，然後在裡面可以新增加你的模組。

5.  程式設計例項

5.1    Hello World

本節介紹了一個非常簡單的程式設計例項：一個slave從master中獲取其manifest，該maniftest要求slave依次做以下工作：安裝gcc，建立資料夾/home/dxc/test，下載檔案hello.c程式，編譯hello.c。

(1)    程式碼結構組織

Master上程式碼的目錄結構如下：

|– auth.conf

|– fileserver.conf   #puppet檔案伺服器配置檔案

|– manifests   #puppet主檔案所在目錄

|   |– modules.pp        #puppet各個模組彙總

|   |– nodes         #各個slave要處理的模組

|   |   `– execHello.pp      #hello模組對應由那些slave處理

|   `– site.pp                  #puppet主檔案（入口檔案）

|– modules     #puppet的各個模組所在檔案

|   `– hello   #hello模組

|       |– files    #該模組對應的檔案資源，可能是要傳送給slave的配置檔案等

|       |   `– hello.c

|       `– manifests   #模組的manifest檔案

|           `– init.pp                  #模組入口檔案

`– ssl       #puppet的證書檔案目錄

(2)    程式執行流程

程式碼呼叫順序是：

Slave發起連線請求 à site.pp à nodes àmodules à init.pp

首先，slave向發起master連線請求，進行證書驗證；

接著，證書驗證通過後，master會直接找到入口檔案manifests目錄下的site.pp檔案，該檔案可能包含一些全域性變數，引數預設值（當各個模組沒有設定這些引數時，它們的預設值）以及其它pp檔案的呼叫（在該例子中，會呼叫modules.pp和nodes下的各個pp檔案）；

然後，master通過nodes下的各個pp檔案定位到該slave要執行的模組（init.pp是各個模組的入口），彙總這些模組程式碼返回給slave；

最後，slave根據master發過來的manifest，配置資訊。

(3)    程式碼解釋

5.2   一個更復雜的例項

本節介紹了一個更為複雜的某個公司正在使用例項，puppet程式碼佈局與上一個例項一致，只不過該例項涉及到更多模組，更復雜的依賴管理。程式碼具體內容本節就不解釋了，具體參見程式碼。

6.  可能遇到的問題

Q: puppet的證書機制

A: puppet證書問題是初學者最容易遇到的問題，這裡講一下怎麼處理。puppet伺服器端在安裝或者首次啟動的時候，會自動生產一個根證書和伺服器證書，證書和主機名相關，因此如果證書生成後友改了主機名，那就會出問題。 puppet客戶端在首次啟動的時候，也會自動生成證書；但是這個證書需要得到puppet伺服器端的簽名才行，因此；puppet客戶端第一次連線伺服器的時候，會發送一個證書請求；伺服器端需要對這個證書進行簽名。puppet客戶端在下次連線伺服器的時候就會下載簽名好的證書。

Q:Ubuntu下面的證書出錯，怎麼解決?

A:本方法是提供給初學者的測試環境，生成環境不建議這麼做。首先在puppetmaster(伺服器端)刪除/var/lib/puppet/ssl目錄;然後啟動puppetmasterd；然後在客戶端也刪除/var/lib/puppet/ssl目錄。把puppetmaster機器的主機名和對應的ip地址寫入客戶端機器的/etc/hosts。

然後執行：puppetd –test –server server.example.com. 把server.example.com替

換成你自己的伺服器主機名。 執行這個命令，會有提示資訊，不用理會。

然後登入到puppetmaster伺服器機器，執行puppetca –list 命令，看看是否有客戶端的證書請求；如果沒有，請檢查前面的步驟是執行正確，以及網路連線是否正常。 如果puppetca –list 能看到請求，那麼執行puppetca -s -a 命令；對所有的證書請求籤名。最後回到puppet客戶端機器，執行

puppetd –test –server server.example.com.

就能建立連線了，如果你的site.pp寫好了.就可以測試puppet了。

補充：如果客戶端和伺服器端的時間不一致也會導致證書認證失敗，因此出現證書問題的時候需要檢查兩臺機器的時間是否一致，如果不一致用date命令或者ntpdate命令讓兩臺機器的時間一致。

Q:出現錯誤[Puppet Users] err: Could not retrieve catalog; skipping run

A：可能是由於安裝了兩個版本的ruby或者facter的原因，解決方案見：

7.  總結

隨著伺服器叢集規模越來越大，自動化配置和部署這些伺服器能夠使管理變得非常容易並大大減小管理部署成本，因而得到IT公司的高度重視。

本文件介紹了puppet，一種新型的軟體自動化配置和部署工具。本文主要內容涉及puppet的架構，安裝和使用方法，並給出了兩個使用例項。

在大規模的生成環境中，如果只有一臺puppetmaster會忙不過來的，因為puppet是用ruby寫的，ruby是解析型語言，每個客戶端來訪問，都要解析一次，當客戶端多了就忙不過來，所以需要擴充套件成一個伺服器組。puppetmaster可以看作一個web伺服器，實際上也是由ruby提供的web伺服器模組來做的。因此可以利用web代理軟體來配合puppetmaster做叢集設定，具體參見：http://puppet.wikidot.com/puppetnginx 。

8.  參考資料

9.  程式碼下載

安裝puppet

centos的官方軟體庫裡面不包含puppet包,但是在epel專案裡面有包含puppet包. epel 是一個對rhel軟體倉庫的擴充套件,把一些有用的,但是rhel庫沒包含的軟體收集在一起做成的一個軟體倉庫.
因此首先在centos上面安裝epel,以 64位的centos5 舉例,其他版本以此類推rpm -Uvh

安裝好epel庫以後,就可以用下面的命令安裝puppet了yum install puppet
我們線上有部分伺服器無法訪問外網，這時候需要從其他地方下載原始碼後，scp/ftp上去

puppet是用 ruby語言開發的,因為puppet的安裝依賴一些ruby的庫,下面是需要安裝的ruby庫

• base64
• cgi
• digest/md5
• etc
• fileutils
• ipaddr
• openssl
• strscan
• syslog
• uri
• webrick
• webrick/https
• xmlrpc

安裝facter

facter是一個安裝puppet的必要軟體,解包並安裝
tar zxf facter-x.x.x.tar.gz
cd facter-x.x.x
ruby install.rb

安裝 puppet

tar zxf puppet-x.x.x.tar.gz
cd puppet-x.x.x
ruby install.rb

伺服器端：

#mkdir /etc/puppet

#cd puppet-x.x.x

# cp conf/auth.conf /etc/puppet/

# cp conf/redhat/fileserver.conf /etc/puppet/

# cp conf/redhat/puppet.conf /etc/puppet/

# cp conf/redhat/server.init /etc/init.d/puppetmaster

# chmod +x /etc/init.d/puppetmaster

# chkconfig --add puppetmaster

# chkconfig puppetmaster on

# mkdir -p /etc/puppet/manifests

# useradd -M -s /sbin/nologin puppet

# puppetmasterd --mkusers

客戶端：

# mkdir /etc/puppet

##cd puppet-x.x.x

# cp conf/auth.conf /etc/puppet/

# cp conf/namespaceauth.conf /etc/puppet

# cp conf/redhat/puppet.conf /etc/puppet

#cp conf/redhat/client.init /etc/init.d/puppet

# chmod +x /etc/init.d/puppet

# chkconfig --add puppet

# chkconfig puppet on

# puppet agent --genconfig >/etc/puppet/puppet.conf