Eine Einführung in Cloud-Config Scripting

Das Programmcloud-init, das in neueren Distributionen verfügbar ist (zum Zeitpunkt dieses Schreibens nur Ubuntu 14.04 und CentOS 7), kann Daten aus dem Felduser-data derDigitalOcean metadata service verbrauchen und ausführen. Dieser Vorgang verhält sich je nach Format der gefundenen Informationen unterschiedlich. Eines der beliebtesten Formate für Skripte innerhalb vonuser-data ist das Dateiformatcloud-config.

Cloud-Konfigurationsdateien sind spezielle Skripts, die vom Cloud-Init-Prozess ausgeführt werden. Diese werden in der Regel für die Erstkonfiguration beim allerersten Start eines Servers verwendet. In diesem Handbuch werden das Format und die Verwendung von Cloud-Konfigurationsdateien erläutert.

Dascloud-config-Format implementiert eine deklarative Syntax für viele gängige Konfigurationselemente, sodass viele Aufgaben problemlos ausgeführt werden können. Außerdem können Sie beliebige Befehle für alle Elemente angeben, die außerhalb der vordefinierten Deklarationsfunktionen liegen.

Mit diesem Ansatz „Das Beste aus zwei Welten“ verhält sich die Datei wie eine Konfigurationsdatei für allgemeine Aufgaben und behält gleichzeitig die Flexibilität eines Skripts für komplexere Funktionen bei.

Um neue Benutzer im System zu definieren, können Sie die Direktiveusersverwenden, die wir in der obigen Beispieldatei gesehen haben.

Das allgemeine Format von Benutzerdefinitionen lautet:

Jeder neue Benutzer sollte mit einem Bindestrich beginnen. Jeder Benutzer definiert Parameter in Schlüssel-Wert-Paaren. Folgende Schlüssel stehen zur Definition zur Verfügung:

Abgesehen von einigen grundlegenden Informationen, wie dem Schlüsselname, müssen Sie nur die Bereiche definieren, in denen Sie vom Standard abweichen oder die erforderlichen Daten bereitstellen.

Für Benutzer ist es wichtig zu erkennen, dass das Feldpasswdnot in Produktionssystemen verwendet werden sollte, es sei denn, Sie verfügen über einen Mechanismus zum sofortigen Ändern des angegebenen Werts. Wie bei allen als Benutzerdaten übermittelten Informationen bleibt der Hash fürany Benutzer auf dem System während der gesamten Lebensdauer des Servers zugänglich. Auf moderner Hardware können diese Hashes leicht in trivialer Zeit geknackt werden. Sogar das Offenlegen des Hashs ist ein großes Sicherheitsrisiko, das auf Maschinen, die nicht verfügbar sind, nicht in Kauf genommen werden sollte.

Für eine Beispielbenutzerdefinition können wir einen Teil des Beispielscloud-config verwenden, das wir oben gesehen haben:

Um Gruppen zu definieren, sollten Sie die Direktivegroupsverwenden. Diese Direktive ist relativ einfach, da sie nur eine Liste von Gruppen enthält, die Sie erstellen möchten.

Eine optionale Erweiterung besteht darin, eine Unterliste für eine der Gruppen zu erstellen, die Sie erstellen. Diese neue Liste definiert die Benutzer, die in diese Gruppe aufgenommen werden sollen:

Für bereits vorhandene Benutzerkonten (das Konto vonrootist das relevanteste) kann ein Kennwort mithilfe der Direktive vonchpasswdangegeben werden.

Note: Diese Anweisung sollteonly in Debugging-Situationen verwendet werden, da der Wert wiederum jedem Benutzer im System für die Dauer der Lebensdauer des Servers zur Verfügung steht. Dies ist in diesem Abschnitt noch relevanter, da mit dieser Richtlinie übermittelte Passwörter inplain text angegeben werden müssen.

Die grundlegende Syntax sieht folgendermaßen aus:

Die Direktive enthält zwei assoziative Array-Schlüssel. Der Schlüssellistenthält einen Block, in dem die Kontonamen und die zugehörigen Kennwörter aufgeführt sind, die Sie zuweisen möchten. Der Schlüsselexpireist ein Boolescher Wert, der bestimmt, ob das Kennwort beim ersten Start geändert werden muss oder nicht. Der Standardwert ist "True".

Beachten Sie, dass Sie ein Passwort auf "RANDOM" oder "R" setzen können, wodurch ein zufälliges Passwort generiert und in/var/log/cloud-init-output.log geschrieben wird. Beachten Sie, dass diese Datei für jeden Benutzer im System zugänglich ist und daher nicht sicherer ist.

Um Dateien auf die Festplatte zu schreiben, sollten Sie die Direktivewrite_filesverwenden.

Jede Datei, die geschrieben werden soll, wird durch ein Listenelement gemäß der Direktive dargestellt. Diese Listenelemente sind assoziative Arrays, die die Eigenschaften jeder Datei definieren.

Die einzigen erforderlichen Schlüssel in diesem Array sindpath, die definieren, wo die Datei geschrieben werden soll, undcontent, die die Daten enthalten, die die Datei enthalten soll.

Die verfügbaren Schlüssel zum Konfigurieren eineswrite_files-Elementes sind:

Zum Beispiel könnten wir eine Datei in/test.txt mit dem Inhalt schreiben:

Der Teil dercloud-config, der dies erreichen würde, würde folgendermaßen aussehen:

Für die Verwaltung von Paketen sind einige Einstellungen und Anweisungen zu beachten.

Um die apt-Datenbank auf Debian-basierten Distributionen zu aktualisieren, sollten Sie die Direktivepackage_updateauf "true" setzen. Dies ist gleichbedeutend mit dem Aufruf vonapt-get update über die Befehlszeile.

Der Standardwert ist "true". Sie müssen sich also nur um diese Anweisung kümmern, wenn Sie sie deaktivieren möchten:

Wenn Sie alle Pakete auf Ihrem Server nach dem ersten Start aktualisieren möchten, können Sie die Direktivepackage_upgradefestlegen. Dies entspricht einemapt-get upgrade, das manuell ausgeführt wird.

Dies ist standardmäßig auf "false" gesetzt, stellen Sie also sicher, dass Sie dies auf "true" setzen, wenn Sie die Funktionalität wünschen:

Um zusätzliche Pakete zu installieren, können Sie die Paketnamen einfach mithilfe der Direktive "packages" auflisten. Jedes Listenelement sollte ein Paket darstellen. Im Gegensatz zu den beiden oben genannten Befehlen funktioniert diese Direktive mit yum oder apt managed distros.

Diese Elemente können eine von zwei Formen annehmen. Die erste ist einfach eine Zeichenfolge mit dem Namen des Pakets. Das zweite Formular ist eine Liste mit zwei Elementen. Das erste Element dieser neuen Liste ist der Paketname, und das zweite Element ist die Versionsnummer:

Die Direktive "packages" setztapt_update auf true und überschreibt alle vorherigen Einstellungen.

Sie können SSH-Schlüssel in der Direktiveusersverwalten, aber Sie können sie auch in einem dedizierten Abschnittssh_authorized_keysangeben. Diese werden zur Datei "authorized_keys" des ersten definierten Benutzers hinzugefügt.

Dies hat das gleiche allgemeine Format der Schlüsselspezifikation innerhalb derusers-Richtlinie:

Sie können die privaten Schlüssel des SSH-Servers auch vorab generieren und im Dateisystem ablegen. Dies kann hilfreich sein, wenn Sie Ihren Clients die Informationen zu diesem Server vorab mitteilen möchten, damit sie dem Server vertrauen können, sobald er online geht.

Dazu können wir die Direktivessh_keysverwenden. Dies kann die Schlüsselpaare für RSA-, DSA- oder ECDSA-Schlüssel unter Verwendung derrsa_private,rsa_public,dsa_private,dsa_public,ecdsa_private undecdsa_publicverwenden ) s Unterelemente.

Da Formatierungen und Zeilenumbrüche für private Schlüssel wichtig sind, stellen Sie sicher, dass Sie einen Block mit einem Pipe-Schlüssel verwenden, wenn Sie diese angeben. Außerdem enthalten Siemust die Anfangs- und Endschlüsselzeilen, damit Ihre Schlüssel gültig sind.

Wenn Ihre Infrastruktur von Schlüsseln abhängt, die von einer internen Zertifizierungsstelle signiert wurden, können Sie Ihre neuen Computer so einrichten, dass sie Ihrem CA-Zertifikat vertrauen, indem Sie die Zertifikatinformationen einfügen. Dazu verwenden wir die Direktiveca-certs.

Diese Richtlinie hat zwei Unterpunkte. Das erste istremove-defaults, das, wenn es auf true gesetzt ist, alle normalen Zertifikat-Vertrauensinformationen entfernt, die standardmäßig enthalten sind. Dies ist normalerweise nicht erforderlich und kann zu Problemen führen, wenn Sie nicht wissen, was Sie tun. Gehen Sie daher vorsichtig vor.

Das zweite Element isttrusted, eine Liste mit jeweils einem vertrauenswürdigen CA-Zertifikat:

Wenn Sie Ihre eigenen DNS-Server konfiguriert haben, die Sie verwenden möchten, können Sie die resolv.conf-Datei Ihres Servers mithilfe der Anweisungresolv_confverwalten. Dies funktioniert derzeit nur für RHEL-basierte Distributionen.

Unter der Direktiveresolv_conf können Sie Ihre Einstellungen mit den Elementennameservers,searchdomains,domain undoptions verwalten.

Die Direktivenameserversollte eine Liste der IP-Adressen Ihrer Nameserver enthalten. Die Direktivesearchdomainsverwendet eine Liste von Domänen und Subdomänen, in denen gesucht werden soll, wenn ein Benutzer einen Host, aber keine Domäne angibt.

domain legt die Domäne fest, die für nicht auflösbare Anforderungen verwendet werden soll, undoptions enthält eine Reihe von Optionen, die in der Datei resolv.conf definiert werden können.

Wenn Sie die Direktiveresolv_confverwenden, müssen Sie sicherstellen, dass die Direktivemanage-resolv-confebenfalls auf true gesetzt ist. Andernfalls werden Ihre Einstellungen ignoriert:

Wenn keine der verwalteten Aktionen, diecloud-config bereitstellt, für das, was Sie tun möchten, funktioniert, können Sie auch beliebige Befehle ausführen. Sie können dies mit der Direktiveruncmdtun.

Diese Direktive benötigt eine Liste der auszuführenden Elemente. Diese Elemente können auf zwei verschiedene Arten angegeben werden, die sich auf die Art und Weise auswirken, wie sie behandelt werden.

Wenn das Listenelement eine einfache Zeichenfolge ist, wird das gesamte Element zur Ausführung an den Shell-Prozess vonshübergeben.

Die andere Option besteht darin, eine Liste zu übergeben, von der jedes Element auf ähnliche Weise ausgeführt wird, wieexecve Befehle verarbeitet. Das erste Element wird als auszuführender Befehl oder Skript interpretiert und die folgenden Elemente werden als Argumente für diesen Befehl übergeben.

Die meisten Benutzer können eines dieser Formate verwenden. Aufgrund der Flexibilität können Sie jedoch die beste Option auswählen, wenn Sie spezielle Anforderungen haben. Jede Ausgabe wird in den Standardausgang und in die/var/log/cloud-init-output.log-Datei geschrieben:

In einigen Fällen möchten Sie Ihren Server herunterfahren oder neu starten, nachdem Sie die anderen Elemente ausgeführt haben. Sie können dies tun, indem Sie die Direktivepower_stateeinrichten.

Diese Direktive hat vier Unterpunkte, die gesetzt werden können. Dies sinddelay,timeout,message undmode.

delay gibt an, wie lange der Neustart oder das Herunterfahren in der Zukunft erfolgen soll. Standardmäßig ist dies "jetzt", was bedeutet, dass der Vorgang sofort beginnt. Um eine Verzögerung hinzuzufügen, sollten Benutzer in Minuten die Zeit angeben, die im Format+<num_of_mins>vergehen soll.

Der Parametertimeout nimmt einen Wert ohne Einheit an, der die Anzahl der Sekunden angibt, die gewartet werden muss, bis die Cloud-Init abgeschlossen ist, bevor der Countdown fürdelaygestartet wird.

Im Feldmessage können Sie eine Nachricht angeben, die an alle Benutzer des Systems gesendet wird. mode gibt den Typ des auszulösenden Leistungsereignisses an. Dies kann "Ausschalten" sein, um den Server herunterzufahren, "Neustarten", um den Server neu zu starten, oder "Anhalten", um das System entscheiden zu lassen, welche Aktion die beste ist (normalerweise Herunterfahren):

Die obigen Beispiele stellen einige der häufigsten Konfigurationselemente dar, die beim Ausführen einercloud-config-Datei verfügbar sind. Es gibt zusätzliche Funktionen, die wir in diesem Handbuch nicht behandelt haben. Dazu gehören das Einrichten der Konfigurationsverwaltung, das Konfigurieren zusätzlicher Repositorys und sogar das Registrieren mit einer externen URL, wenn der Server initialisiert wird.

Weitere Informationen zu einigen dieser Optionen finden Sie im Verzeichnis/usr/share/doc/cloud-init/examples. Eine praktische Anleitung, die Ihnen hilft, sich mitcloud-config Dateien vertraut zu machen, finden Sie in unserem Tutorial zuhow to use cloud-config to complete basic server configuration hier.