自动化盐 - 小兵安装

Question

我必须设置一个新的盐配置。 对于minion设置我想设计一种方法。我想出了这个。

1. 在/etc/salt/roster文件中输入新的仆从，以便我可以使用salt-ssh。
2. 运行一个盐公式，在这个新的奴才上安装 salt-minion 。
3. 在小兵身上用salt-call key.finger --local生成小兵指纹，以某种方式（仍然计算）让它掌握并保存在某个档案中，直到小兵实际上试图连接。
4. 当minion实际上尝试连接到master时，master会确认minion身份与存储的指纹，然后接受密钥。

一旦完成，盐状态就可以使小兵达到理想的状态。

与此相关的手工琐事：

1. 我必须做手动输入即。 minion-id文件中的IP，user和/etc/salt/roster，用于我想要的每个新手。

   除此之外我无法解决任何弊端。

我的问题是：

1. 这种方法可行吗？
2. 是否存在安全隐患？
3. 那里有更好的方法吗？

P.S。主人和小兵可能在公共网络上，也可能不在公共网络上。

Answer 1

有salt-cloud来配置新节点。其中包括将使用SSH进行配置的提供程序saltify。 See here for the online documentation.它将一步完成以下所有操作：

• 为minion创建一组新的键
• 向主人
注册小兵的钥匙
• 使用SSH连接到minion并使用salt和minion的键引导minion

如果您希望小兵在连接后验证主密钥，您可以将证书发布给小兵并使用证书like described here签署主密钥。请仔细检查saltify是否已支持此功能。

前段时间我准备了一个salt-cloud设置，适用于DigitalOcean和Vagrant on my Github account。 Vagrant配置使用salt-cloud和saltify。查看包含cheatsheet.adoc的Vagrant命令。