Sysadmin: a la sombra del desarrollo. cesar@netmanagers.com.ar

Transcripción

1 Sysadmin: a la sombra del desarrollo cesar@netmanagers.com.ar

2 qué hacen acá ustedes? Ruby Ruby on Rails Django PHP

3 qué hacen acá ustedes? Web App

4 Web App / infraestructura Web App más Infraestructura

5 Web App / infraestructura Web App menos Infraestructura =

6 Web App / infraestructura NADA

7 Web App / infraestructura una Web App ES Infraestructura

8 Programmer Day el día número 256 del año 13 de setiembre 2010

9 System Administrator Appreciation Day último jueves de julio un abrazo y un regalito para el sysadmin! en 2010 fue el 29 de julio agenden para el 2011: 28 de julio

10 devs vs ops Antagonismo entre la forma de pensar de los desarrolladores y los administradores de sistemas. Los sistemas bien administrados no sirven si no corre la aplicación que hizo el desarrollador. La aplicación no sirve si la infraestructura no contempla los patrones de uso que le darán los usuarios Si la aplicación es un colador de agujeros de seguridad, no hay infraestructura que la admita Si la infraestructura no permite los módulos y versiones que la aplicación requiere, es inútil

11 devs vs ops

12 devs vs ops

13 sysadmin ideal

14 sysadmin ideal

15 sysadmin bajas calorías alternativas: NO $$$ dev.push(sysadmin) + IT / not + educated brain everybody is a sysadmin

16 sysadmines de los buenos «El trabajo de un administrador de sistemas es ser invisible.» obligado lema de nm

17 sysadmin: no olvides el mantra 1. RESPALDOS EN BUENA FORMA 2. COMMAND LINE INTERFACE 3. ACCESO REMOTO SEGURO 4. AUTOMATIZACIÓN 5. /dev/mate LIMPIO

18 Automatización: scripts 1. ah-hoc 2. no escalan a otras empresas 3. idiosincráticos 4. secuencias de pasos, no de tareas y sus dependencias 5. control de versiones sobre los scripts 6. empezamos a ser devs, oh, no! 7. contenido de los archivos de config en control de versiones mejor que hacer todo a mano registro de quien / cuando / porque lo hizo ejemplos de referencia para trabajos similares

19 Automatización 2.0: Puppet

20 Puppet: características Idempotencia

21 Puppet: características Impotencia

22 Puppet: características 1. Idempotencia 2. Multiplataforma 3. Basado en modelos

23 Puppet: forma de trabajo Los clientes o títeres se comunican con el titiritero para obtener sus recetas. El titiritero mantiene en un sistema de control de versiones todas las recetas. El titiritero puede ser títere de otro titiritero, o de él mismo, ohhhh

24 Puppet: modelo de infraestructura Tipos de recursos: service, file, user, group, etc. Clases: nuclean recursos para dar un servicio Nodos: máquinas físicas o virtuales tienen propiedades específicas (IP, etc.) proveen un servicio (incluyen las clases)

25 Instalación del títere/cliente en /etc/hosts asociar el ip del puppetmasterd: puppet m01.hq.example.com m01 instalar paquetes: apt-get install puppet augeas-tools

26 Instalación del titiritero instalar paquetes: apt-get install puppetmaster augeas-tools obtener /etc/puppet/ del subversion: mv /etc/puppet /etc/puppet.orig svn co URL_REPOSITORIO/puppet /etc/puppet en /etc/hosts asociar el ip del cliente: m01.hq.example.com m01

27 un nodo, ninguna clase # /etc/puppet/nodes/default.pp node 'default' { notice('cuidado: este nodo no tiene receta') } notice -> mensaje en logs del puppetmasterd.

28 corremos server puppetmasterd --no-daemonize --verbose --debug corrida seca del cliente, para ver que va a hacer: puppetd --test --noop corremos cliente para que aplique los manifiestos: puppetd --no-daemonize --verbose --debug

29 en el master, listar solicitudes de firmas puppetca --list en el master, firmar clave del equipo m01: puppetca --sign m01 corremos cliente y ver logs puppetd --no-daemonize --verbose --debug

30 modulo resolver Los archivos que lo componen son: modules/resolver/templates/resolv.conf.erb modules/resolver/manifests/init.pp modules/resolver/readme = Module: resolver Este es el doc de resolver Variables: domain: string con el dominio dns_servers: array de numeros de ip de los servidores de nombres

31 modulo resolver # /etc/puppet/modules/resolver/manifests/init.pp class resolver { } file { "/etc/resolv.conf": mode => 644, owner => root, group => root, ensure => present, path => $operatingsystem? { default => "/etc/resolv.conf", }, content => template("resolver/resolv.conf.erb"), }

32 modulo resolver # modules/resolver/templates/resolv.conf.erb # File managed by Puppet <%= puppetversion %> on <%= fqdn % > domain <%= domain %> search <%= domain %> <% dns_servers.each do ns %>nameserver <%= ns %> <% end %>

33 nodo m01 # /etc/puppet/nodes/m01.pp node 'm01' inherits zone_cb { notice('soy m01') } include minimal

34 zona cb: mi casa node zone_cb inherits basenode { $domain = 'ballardini.org.ar' $dns_servers = [ ' ', ' ' ] $puppet_server = 'puppet' $root_ = 'root@ ' $smtp_server = ' ' $local_network = ' /24' } $my_zone = "cb"

35 nodo base node basenode { $my_project = "netmanagers.com.ar" $puppet_server = " " $dns_servers = [" "] $domain = "netmanagers.com.ar" $smtp_server = "smtp.netmanagers.com.ar" $root_ = "roots@netmanagers.com.ar" # Syslog servers. Can be an array. $syslog_servers = ["syslog1.netmanagers.com.ar"] $timezone = "America/Buenos_Aires" $ntp_server = "pool.ntp.com" $my_update = "no" # Auto Update packages (yes no) }

36 clase minimal class minimal { # NETWORKING # Network configuration include network # Management of file /etc/hosts include hosts # DNS resolver # Requires: $dns_servers, $domain include resolver #...otras cosas... } lo necesario para que puppet pueda funcionar

37 Jerarquía de nodos NODOS PUPPET: concepto: ubicación / DONDE ESTÁ implementación: herencia de propiedades de ubicación (ip, gateway, proxy, ntp server, etc.) se asignan variables desde ubicación más general a más específica (edificio / oficina / LAN / equipo)

38 Jerarquía de clases CLASES PUPPET: concepto: rol / QUÉ HACE web server, trac, samba file server, rails server, MySQL server, etc. implementación: herencia de recursos necesarios se incluyen los recursos apropiados al rol (services, files, crons, packages, etc.)

39 Puppet: y más Nodos externalizados 2. Dashboard 3. Otras cosas parecidas: Moonshine Chef 4. Otras cosas no parecidas: Capistrano

40 Provisión automatizada Apoyado en tres patas: 1. PXE: arranque remoto 2. Preseed (o Kickstart): instalación sin preguntas 3. Puppet: aseguramiento del rol

41 Provisión automatizada: PXE /var/lib/tftpboot/pxelinux.cfg/default DEFAULT LOCAL PROMPT 1 TIMEOUT 1500 DISPLAY boot.txt LABEL LOCAL LOCALBOOT 0 LABEL lenny_i386_rescue kernel debian/lenny/i386/linux append vga=normal initrd=debian/lenny/i386/initrd.gz rescue/enable=true -- LABEL x kernel debian/lenny/i386/linux append vga=normal initrd=debian/lenny/i386/initrd.gz locale=es_ar consolesetup/layoutcode=es debian-installer/country=ar priority=critical url=http: //cesar/preseed/base.txt netcfg/dhcp_timeout=60 --

42 Provisión automatizada: preseed #### Contents of the preconfiguration file ### Localization # Locale sets language and country. d-i debian-installer/locale string es_ar d-i debian-installer/country string AR # Keyboard selection. d-i console-keymaps-at/keymap select es ### Network configuration # netcfg will choose an interface that has link if possible. This makes it # skip displaying a list if there is more than one interface. d-i netcfg/choose_interface select auto # To pick a particular interface instead: #d-i netcfg/choose_interface select eth0... etc etc...

43 Provisión automatizada: preseed En el preseed se incluye lo necesario para que puppet tome el control, y una bateria de utilidades para el sysadmin precavido: d-i pkgsel/include string openssh-server build-essential \ screen vim less ssh mc ifrename localepurge \ debfoster deborphan \ ntp ntpdate tzdata \ gpm links lynx mtools mdetect discover1 xbase-clients \ zip unzip bzip2 arj p7zip-full rar unrar ncompress zoo \ subversion subversion-tools \ debian-archive-keyring debian-backports-keyring debian-keyring \ debian-maintainers debian-multimedia-keyring \ nagios-nrpe-server nagios-plugins-basic nagios-plugins-standard \ ocsinventory-agent lshw augeas-tools puppet

44 Provisión automatizada: preseed (debe estar en una sola línea) d-i preseed/late_command string wget -O /target/etc/default/puppet puppet hasta que acceda al titiritero) START=yes for n in `seq 1 30`; do ping -c 1 puppet > /dev/null 2> /dev/null && break echo -n " $n" sleep 1 done DAEMON_OPTS="-w 0 --server puppet"

45 Provisión automatizada: Puppet 1. Se crea el nodo para ese equipo Hereda de la zona o subzona que le toca Incluye las clases de los roles que va a desempeñar 2. Se firma su credencial Puppet 3. Se cambia la yerba del mate y listo ;^)

46 Muchas gracias Sysadmin cada día ayudando para que el desarrollador trabaje a la sombra cesar@netmanagers.com.ar