ProHoster > Блог > Администриране > oVirt за 2 часа. Част 3. Допълнителни настройки

oVirt за 2 часа. Част 3. Допълнителни настройки

В тази статия ще разгледаме редица необязателни, но полезни настройки:

Тази статия е продължение, началото вижте oVirt за 2 часа Част 1 и част 2.

Статии

  1. Въведение
  2. Инсталация на мениджъра (ovirt-engine) и хипервизорите (hosts)
  3. Допълнителни настройки — Ние сме тук

Допълнителни настройки на мениджъра

За удобство ще инсталираме допълнителни пакети:

$ sudo yum install bash-completion vim

За да активирате автоматичното допълване на команди, bash-completion трябва да бъде активиран в bash.

Добавяне на допълнителни DNS имена

Това ще е необходимо, когато мениджърът трябва да бъде достъпен по алтернативно име (CNAME, псевдоним или просто кратко име без домейнно окончание). От съображения за сигурност мениджърът допуска свързване само по разрешен списък с имена.

Създаваме конфигурационен файл:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-sso-setup.conf

съдържащ следното:

SSO_ALTERNATE_ENGINE_FQDNS="ovirt.example.com some.alias.example.com ovirt"

и рестартираме мениджъра:

$ sudo systemctl restart ovirt-engine

Настройка на автентикация чрез AD

oVirt има вградена база данни с потребители, но също така поддържа външни LDAP доставчици, включително AD.

Най-простият начин за типова конфигурация е стартирането на мастера и рестартирането на мениджъра:

$ sudo yum install ovirt-engine-extension-aaa-ldap-setup
$ sudo ovirt-engine-extension-aaa-ldap-setup
$ sudo systemctl restart ovirt-engine

Пример за работа на мастера
$ sudo ovirt-engine-extension-aaa-ldap-setup
Налични LDAP реализации:
…
3 — Active Directory
…
Моля, изберете: 3
Моля, въведете името на Active Directory Forest: example.com

Моля, изберете протокол за използване (startTLS, ldaps, plain) [startTLS]:
Моля, изберете метод за получаване на PEM кодирания CA сертификат (Файл, URL, Вградени, Системни, Несигурно): URL
URL: wwwca.example.com/myRootCA.pem
Въведете DN на потребителя за търсене (например uid=username,dc=example,dc=com или оставете празно за анонимен): CN=oVirt-Engine,CN=Users,DC=example,DC=com
Въведете паролата на потребителя за търсене: *парола*
[ INFO ] Опит за свързване с 'CN=oVirt-Engine,CN=Users,DC=example,DC=com'
Ще използвате ли Single Sign-On за виртуални машини (Да, Не) [Yes]:
Моля, задайте името на профила, което ще бъде видимо за потребителите [example.com]:
Моля, предоставете удостоверения за тестване на потока на влизане:
Въведете потребителско име: someAnyUser
Въведете паролата на потребителя:
…
[ INFO ] Последователността на влизане беше изпълнена успешно
…
Изберете последователността на теста, която да изпълните (Готово, Прекрати, Вход, Търсене) [Готово]:
[ INFO ] Етап: Настройка на транзакция
…
РЕЗЮМЕ НА КОНФИГУРАЦИЯТА
…

Използването на мастера е подходящо за повечето случаи. За сложни конфигурации настройките се извършват ръчно. Повече информация в документацията на oVirt, Потребители и Роли. След успешното свързване на Engine с AD, в прозореца за свързване ще се появи допълнителен профил, а на таба Разрешения в системата на обектите — възможността да се предоставят права на потребители и групи AD. Трябва да се отбележи, че външният каталог за потребители и групи може да бъде не само AD, но и IPA, eDirectory и др.

Multipathing

В производствена среда системата за съхранение трябва да бъде свързана към хоста през няколко независими пътища за множество входно-изходни операции. Обикновено в CentOS (и следователно oVirt) не възникват проблеми при конфигурирането на множество пътища към устройството (find_multipaths yes). За допълнителни настройки за FCoE е написано в 2-ра част. Заслужава да се отбележи препоръката на производителя на СХД — много от тях препоръчват да се използва политика round-robin, докато по подразбиране в Enterprise Linux 7 се използва service-time.

На примера на 3PAR
и документа HPE 3PAR Red Hat Enterprise Linux, CentOS Linux, Oracle Linux и OracleVM Server Implementation Guide EL се създава като Host с Generic-ALUA Persona 2, за него в настройките /etc/multipath.conf се въвеждат следните стойности:

defaults {
           polling_interval      10
           user_friendly_names   no
           find_multipaths       yes
          }
devices {
          device {
                   vendor                   "3PARdata"
                   product                  "VV"
                   path_grouping_policy     group_by_prio
                   path_selector            "round-robin 0"
                   path_checker             tur
                   features                 "0"
                   hardware_handler         "1 alua"
                   prio                     alua
                   failback                 immediate
                   rr_weight                uniform
                   no_path_retry            18
                   rr_min_io_rq             1
                   detect_prio              yes
                   fast_io_fail_tmo         10
                   dev_loss_tmo             "infinity"
                 }
}

След което се дава команда за рестартиране:

systemctl restart multipathd

oVirt за 2 часа. Част 3. Допълнителни настройки
Рис. 1 — политика за множество входно-изходни операции по подразбиране.

oVirt за 2 часа. Част 3. Допълнителни настройки
Рис. 2 — политика за множество входно-изходни операции след прилагане на настройките.

Настройка на управлението на захранването

Позволява например да се извърши хардуерен рестарт на машината, ако Engine не успее продължително време да получи отговор от Host. Реализира се чрез Fence Agent (агент за ограждане).

Compute -> Hosts -> HOST — Edit -> Power Management, след което включете "Enable Power Management" и добавете агента — "Add Fence Agent" -> +.

Указваме типа (например, за iLO5 трябва да посочите ilo4), името/адреса на ipmi интерфейса, както и името/паролата на потребителя. Препоръчително е да се създаде отделен потребител (например, oVirt-PM) и в случай на iLO да му се предоставят привилегии:

  • Вход
  • Remote Console
  • Virtual Power and Reset
  • Virtual Media
  • Configure iLO Settings
  • Administer User Accounts

Не питайте съмнение защо точно така, избрано по опитен път. Конзолният агент за ограничаване на достъпа изисква по-малък набор от права.

При настройка на списъците за контрол на достъпа трябва да имате предвид, че агентът не се стартира на engine, а на 'съседния' хост (известен като Power Management Proxy). Тоест, ако в клъстера остане само един възел, управлението на захранването ще работи. няма да.

Настройка на SSL

Пълната официална инструкция – в документацията, приложение D: oVirt и SSL - Смяна на SSL/TLS сертификата на oVirt Engine.

Сертификатът може да бъде както от нашия корпоративен ЦС, така и от външен търговски център за сертификация.

Важно забележка: сертификатът е предназначен за свързване с мениджъра и няма да повлияе на взаимодействието между Engine и възлите - те ще използват самоподписани сертификати, предоставени от Engine.

Изисквания:

  • сертификат от издаващия ЦС в PEM формат, с целия път до коренния ЦС (от подчиненото издаващо в началото до коренния в края);
  • сертификат за Apache, издаден от издаващия ЦС (също допълнен с целия сертификатен път на ЦС);
  • частен ключ за Apache, без парола.

Да предположим, че нашият издаващ център за сертификация работи под управлението на CentOS, нарича се subca.example.com, а заявките, ключовете и сертификатите се намират в каталога /etc/pki/tls/.

Правим резервни копия и създаваме временен каталог:

$ sudo cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.`date +%F` 
$ sudo cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.`date +%F` 
$ sudo mkdir /opt/certs 
$ sudo chown mgmt.mgmt /opt/certs

Качете сертификатите, като ги извършите от собствената си работна станция или ги прехвърлите по удобен начин:

[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/cachain.pem mgmt@ovirt.example.com:/opt/certs 
[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/private/ovirt.key mgmt@ovirt.example.com:/opt/certs 
[myuser@mydesktop] $ scp -3 causer@subca.example.com/etc/pki/tls/certs/ovirt.crt mgmt@ovirt.example.com:/opt/certs

В резултат трябва да видите всичките 3 файла:

$ ls /opt/certs 
cachain.pem  ovirt.crt  ovirt.key

Инсталиране на сертификатите

Копирайте файловете и обновете списъците с доверие:

$ sudo cp /opt/certs/cachain.pem /etc/pki/ca-trust/source/anchors 
$ sudo update-ca-trust 
$ sudo rm /etc/pki/ovirt-engine/apache-ca.pem 
$ sudo cp /opt/certs/cachain.pem /etc/pki/ovirt-engine/apache-ca.pem 
$ sudo cp /opt/certs/ovirt03.key /etc/pki/ovirt-engine/keys/apache.key.nopass 
$ sudo cp /opt/certs/ovirt03.crt /etc/pki/ovirt-engine/certs/apache.cer 
$ sudo systemctl restart httpd.service

Добавете/обновете конфигурационните файлове:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf
ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts" 
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""
$ sudo vim /etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf
SSL_CERTIFICATE=\/etc\/pki\/ovirt-engine\/certs\/apache.cer
SSL_KEY=\/etc\/pki\/ovirt-engine\/keys\/apache.key.nopass
$ sudo vim \/etc\/ovirt-imageio-proxy\/ovirt-imageio-proxy.conf
# Key file for SSL connections
ssl_key_file = /etc/pki/ovirt-engine/keys/apache.key.nopass
# Certificate file for SSL connections
ssl_cert_file = /etc/pki/ovirt-engine/certs/apache.cer

Следва да рестартираме всичките засегнати услуги:

$ sudo systemctl restart ovirt-provider-ovn.service
$ sudo systemctl restart ovirt-imageio-proxy
$ sudo systemctl restart ovirt-websocket-proxy
$ sudo systemctl restart ovirt-engine.service

Готово! Време е да се свържете с мениджъра и да проверите, че връзката е защитена с подписан SSL сертификат.

Архивиране

Къде без нея! В този раздел става въпрос за архивиране на мениджъра, архивирането на ВМ е отделен въпрос. Архивните копия ще правим веднъж дневно и ще ги съхраняваме по NFS, например на същата система, където сме поставили ISO образите — mynfs01.example.com:\exports\/ovirt-backup. Не се препоръчва архивите да се съхраняват на същата машина, на която работи Engine.

Инсталираме и активираме autofs:

$ sudo yum install autofs
$ sudo systemctl enable autofs
$ sudo systemctl start autofs

Създаваме скрипт:

$ sudo vim \/etc\/cron.daily\/make.oVirt.backup.sh

съдържащ следното:

#!/bin/bash

datetime=`date +"%F.%R"`
backupdir="/net/mynfs01.example.com/exports/ovirt-backup"
filename="$backupdir/`hostname --short`.`date +"%F.%R"`"
engine-backup --mode=backup --scope=all --file=$filename.data --log=$filename.log
#uncomment next line for autodelete files older 30 days 
#find $backupdir -type f -mtime +30 -exec rm -f {} ;

Правим файла изпълняем:

$ sudo chmod a+x \/etc\/cron.daily\/make.oVirt.backup.sh

Сега всяка нощ ще получаваме архив на настройките на мениджъра.

Интерфейс за управление на хостовете

Cockpit — съвременен административен интерфейс за Linux системи. В този случай изпълнява роля, близка до уеб интерфейса на ESXi.

oVirt за 2 часа. Част 3. Допълнителни настройки
Рис. 3 — изглед на панела.

Инсталира се много лесно, нужни са пакетите cockpit и плъгинът cockpit-ovirt-dashboard:

$ sudo yum install cockpit cockpit-ovirt-dashboard -y

Активиране на Cockpit:

$ sudo systemctl enable --now cockpit.socket

Настройка на брандмауера:

sudo firewall-cmd --add-service=cockpit
sudo firewall-cmd --add-service=cockpit --permanent

Сега можете да се свържете с хоста: https:\/[Host IP or FQDN]:9090

VLANs

По-подробно за мрежите си струва да прочетете в документацията. Възможностите са много, тук ще опишем свързването на виртуални мрежи.

За свързване на други подсистеми първо трябва да бъдат описани в конфигурацията: Network -> Networks -> New, тук единственото задължително поле е името; чекбоксът VM Network, разрешаващ на машините да използват тази мрежа, е включен, а за свързването на таговете трябва да включите Enable VLAN tagging, да напишете номера на VLAN и да натиснете Ок.

Сега трябва да преминете в хостове Compute -> Hosts -> kvmNN -> Network Interfaces -> Setup Host Networks. Добавената мрежа от дясната страна Unassigned Logical Networks да се премести наляво в Assigned Logical Networks:

oVirt за 2 часа. Част 3. Допълнителни настройки
Рис. 4 — преди добавяне на мрежата.

oVirt за 2 часа. Част 3. Допълнителни настройки
Рис. 5 — след добавяне на мрежата.

За масово свързване на няколко мрежи към хоста е удобно при създаване на мрежи да се присвоява етикет(и) и да се добавят мрежи по етикетите.

След като се създаде мрежата, хостовете ще преминат в състояние Non Operational, докато не завърши добавянето на мрежата към всички възли на клъстера. Тази настройка се дължи на изискването Require All на раздела Cluster при създаването на нова мрежа. В случай, че мрежата не е необходима на всички възли в клъстера, тази настройка може да бъде деактивирана, като по този начин мрежата при добавяне към хост ще бъде показана отдясно в секцията Non Required и ще можете да изберете дали да я свържете с конкретен хост.

oVirt за 2 часа. Част 3. Допълнителни настройки
Рис. 6 — избор на изискването за мрежата.

Специфично за HPE

Почти всеки производител предлага инструменти, които улесняват работата с техните продукти. Примерно, за HPE полезни са AMS (Agentless Management Service, amsd за iLO5, hp-ams за iLO4) и SSA (Smart Storage Administrator, работа с дисков контролер) и др.

Свързване на репозитория HPE
Импортираме ключа и свързваме репозиториите HPE:

$ sudo rpm --import https://downloads.linux.hpe.com/SDR/hpePublicKey2048_key1.pub
$ sudo vim /etc/yum.repos.d/mcp.repo

съдържащ следното:

[mcp]
name=Management Component Pack
baseurl=http://downloads.linux.hpe.com/repo/mcp/centos/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

[spp]
name=Service Pack for ProLiant
baseurl=http://downloads.linux.hpe.com/SDR/repo/spp/RHEL/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

Преглед на съдържанието на репозитория и информация за пакета (справочно):

$ sudo yum --disablerepo="*" --enablerepo="mcp" list available
$ yum info amsd

Инсталиране и стартиране:

$ sudo yum install amsd ssacli
$ sudo systemctl start amsd

Пример за работа на утилита за управление на дисковия контролер
oVirt за 2 часа. Част 3. Допълнителни настройки

Тук е всичко засега. В следващите статии планирам да разкажа за някои основни операции и приложения. Например, как да направите VDI в oVirt.

Източник: habr.com

Купете надежден хостинг за сайтове с защита от DDoS, VPS VDS сървъри 🔥 Купете надежден хостинг за сайтове с защита от DDoS, VPS VDS сървъри | ProHoster