🥇oVirt på 2 timer. Del 3. Yderligere indstillinger

I denne artikel vil vi se på en række valgfrie, men nyttige indstillinger:

brug af ekstra navne til manageren;
tilslutning af autentificering via Active Directory;
Mutlipathing;
strømstyring;
udskiftning af SSL certifikat;
arkivering;
host management interface (cockpit);
VLANs;
HPE-specifik.

Denne artikel er en fortsættelse, se oVirt på 2 timer for begyndelsen Del 1 og del 2.

Artikler

Introduktion
Installation af manager (ovirt-engine) og hypervisorer (hosts)
Yderligere indstillinger - Vi er her

Yderligere indstillinger for manageren

For at gøre arbejdet lettere installer vi ekstra pakker:

$ sudo yum install bash-completion vim

For at aktivere bash-completion skal du skifte til bash.

Tilføjelse af ekstra DNS-navne

Dette er nødvendigt, når manageren skal tilsluttes under et alternativt navn (CNAME, alias eller blot et kort navn uden domænesuffiks). Af sikkerhedsmæssige årsager tillader manageren kun tilslutning via en godkendt liste over navne.

Opret konfigurationsfilen:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-sso-setup.conf

med følgende indhold:

SSO_ALTERNATE_ENGINE_FQDNS="ovirt.example.com some.alias.example.com ovirt"

og genstart manageren:

$ sudo systemctl restart ovirt-engine

Indstilling af autentificering via AD

oVirt har en indbygget brugerdatabase, men understøtter også eksterne LDAP-udbydere, inklusive AD.

Den nemmeste måde at konfigurere en standardinstallation er at køre guiden og genstarte manageren:

$ sudo yum install ovirt-engine-extension-aaa-ldap-setup
$ sudo ovirt-engine-extension-aaa-ldap-setup
$ sudo systemctl restart ovirt-engine

Eksempel på at køre guiden
$ sudo ovirt-engine-extension-aaa-ldap-setup
Tilgængelige LDAP-implementeringer:
…
3 - Active Directory
…
Vælg venligst: 3
Indtast venligst navnet på Active Directory-skoven: example.com

Vælg venligst protokol til brug (startTLS, ldaps, plain) [startTLS]:
Vælg metode til at opnå PEM-kodet CA-certifikat (Fil, URL, Inline, System, Usikker): URL
URL: wwwca.example.com/myRootCA.pem
Indtast søgebruger DN (f.eks. uid=bruger,dc=eksempel,dc=com eller lad være tom for anonym): CN=oVirt-Engine,CN=Users,DC=eksempel,DC=com
Indtast søgebrugerens adgangskode: *adgangskode*
[ INFO ] Forsøger at binde ved at bruge ‘CN=oVirt-Engine,CN=Users,DC=eksempel,DC=com’
Vil du bruge Single Sign-On for virtuelle maskiner (Ja, Nej) [Ja]:
Angiv venligst profilename, som vil være synlig for brugerne [example.com]:
Angiv venligst legitimationsoplysninger for at teste login-flowet:
Indtast brugernavn: someAnyUser
Indtast adgangskode:
…
[ INFO ] Login-sekvensen blev udført med succes
…
Vælg testsekvens at udføre (Færdig, Afbryd, Login, Søg) [Færdig]:
[ INFO ] Fase: Transaktionsoprettelse
…
KONFIGURATION SAMMENFATNING
…

Brug af guiden er velegnet til de fleste tilfælde. For komplekse konfigurationer udføres indstillingerne manuelt. Læs mere i oVirt-dokumentationen, Brugere og roller. Efter at Engine er blevet tilsluttet AD, vil et ekstra profil vises i forbindelsesvinduet, og på fanen Tilladelser for systemobjekter - muligheden for at tildele rettigheder til brugere og grupper i AD. Det skal bemærkes, at det eksterne katalog af brugere og grupper ikke kun kan være AD, men også IPA, eDirectory osv.

Multipathing

I produktionsmiljøet skal lagringssystemet være tilsluttet værten via flere uafhængige veje af multipath I/O. Normalt opstår der ikke problemer med opsætning af multipath til enheden i CentOS (og dermed oVirt) (find_multipaths yes). Yderligere indstillinger for FCoE er beskrevet i del 2. Det er værd at bemærke producentens anbefaling for SAN - mange anbefaler at bruge round-robin politik, mens service-time er standard indstillingen i Enterprise Linux 7.

Eksemplet 3PAR
og dokumentet HPE 3PAR Red Hat Enterprise Linux, CentOS Linux, Oracle Linux, and OracleVM Server Implementation Guide EL oprettes som Host med Generic-ALUA Persona 2, for hvilken følgende værdier indsættes i indstillingerne /etc/multipath.conf:

defaults {
           polling_interval      10
           user_friendly_names   no
           find_multipaths       yes
          }
devices {
          device {
                   vendor                   "3PARdata"
                   product                  "VV"
                   path_grouping_policy     group_by_prio
                   path_selector            "round-robin 0"
                   path_checker             tur
                   features                 "0"
                   hardware_handler         "1 alua"
                   prio                     alua
                   failback                 immediate
                   rr_weight                uniform
                   no_path_retry            18
                   rr_min_io_rq             1
                   detect_prio              yes
                   fast_io_fail_tmo         10
                   dev_loss_tmo             "infinity"
                 }
}

Herefter gives man kommandoen for at genstarte:

systemctl restart multipathd

Fig. 1 - standard multipath politik.

Fig. 2 - multipath politik efter anvendelse af indstillinger.

Indstilling af strømhåndtering

Gør det muligt at udføre en hardware-reset af maskinen, hvis Engine ikke kan få svar fra Host'en over en længere periode. Realiseres gennem Fence Agent.

Compute -> Hosts -> VÆRT — Rediger -> Strømhåndtering, derefter aktivere "Aktiver strømhåndtering" og tilføje agenten - "Tilføj Fence Agent" -> +.

Angiv type (f.eks. for iLO5 skal ile be iLO4), navn/ip-adresse til ipmi-interface, samt navn/adgangskode til bruger. Det anbefales at oprette en separat bruger (f.eks. oVirt-PM) og tildele denne bruger rettigheder i tilfælde af iLO:

Log ind
Fjernkonsol
Virtuel strøm og nulstilling
Virtuel media
Konfigurer iLO-indstillinger
Administrer brugerkonti

Spørg ikke, hvorfor det er sådan; det er blevet valgt gennem erfaring. Den konsolbaserede fencing-agent kræver færre rettigheder.

Når du konfigurerer adgangskontrolister, skal du huske, at agenten kører ikke på engine, men på den 'nabo' vært (den såkaldte Power Management Proxy), dvs. hvis der kun er én node i klyngen, vil strømstyring ikke fungere. vil ikke.

Konfiguration af SSL

Den fulde officielle vejledning findes i dokumentationen, Bilag D: oVirt og SSL - Udskiftning af oVirt Engine SSL/TLS-certifikat.

Certifikatet kan være fra vores egen virksomheds CA eller fra et eksternt kommercielt certifikationscenter.

Vigtig bemærkning: Certifikatet er beregnet til forbindelse til manageren og vil ikke påvirke interaktionen mellem Engine og noderne - de vil bruge selvsignerede certifikater udstedt af Engine.

Krav:

certifikat fra udstedende CA i PEM-format med hele kæden til den rod-CA (fra den underordnede udsteder i starten til roden i slutningen);
certifikat til Apache, udstedt af den udstedende CA (også inkluderet hele kæden af certifikater fra CA);
privat nøgle til Apache, uden adgangskode.

Lad os antage, at vores CA kører på CentOS, hedder subca.example.com, og at forespørgsler, nøgler og certifikater findes i mappen /etc/pki/tls/.

Lad os lave sikkerhedskopier og oprette en midlertidig mappe:

$ sudo cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.`date +%F`
$ sudo cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.`date +%F`
$ sudo mkdir /opt/certs
$ sudo chown mgmt.mgmt /opt/certs

Overførsel af certifikater, gør dette fra din arbejdsstation eller overfør på en anden bekvem måde:

[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/cachain.pem mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/private/ovirt.key mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/certs/ovirt.crt mgmt@ovirt.example.com:/opt/certs

Som resultat skal du se alle 3 filer:

$ ls /opt/certs
cachain.pem  ovirt.crt  ovirt.key

Installation af certifikater

Kopier filer og opdater tillidslister:

$ sudo cp /opt/certs/cachain.pem /etc/pki/ca-trust/source/anchors
$ sudo update-ca-trust
$ sudo rm /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/cachain.pem /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/ovirt03.key /etc/pki/ovirt-engine/keys/apache.key.nopass
$ sudo cp /opt/certs/ovirt03.crt /etc/pki/ovirt-engine/certs/apache.cer
$ sudo systemctl restart httpd.service

Tilføj/Opdater konfigurationsfiler:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf

ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""

$ sudo vim /etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf

SSL_CERTIFICATE=/etc/pki/ovirt-engine/certs/apache.cer
SSL_KEY=/etc/pki/ovirt-engine/keys/apache.key.nopass

$ sudo vim /etc/ovirt-imageio-proxy/ovirt-imageio-proxy.conf

# Key file for SSL connections
ssl_key_file = /etc/pki/ovirt-engine/keys/apache.key.nopass
# Certificate file for SSL connections
ssl_cert_file = /etc/pki/ovirt-engine/certs/apache.cer

Derefter genstarter vi alle berørte tjenester:

$ sudo systemctl restart ovirt-provider-ovn.service
$ sudo systemctl restart ovirt-imageio-proxy
$ sudo systemctl restart ovirt-websocket-proxy
$ sudo systemctl restart ovirt-engine.service

Færdig! Tid til at forbinde til manageren og tjekke, at forbindelsen er beskyttet med et underskrevet SSL-certifikat.

Arkivering

Hvor ville vi være uden det! I dette afsnit vil vi tale om arkivering af manageren, arkivering af VM'er er et separat spørgsmål. Arkiveringskopier vil blive lavet én gang dagligt og gemt på NFS, f.eks. på det samme system, hvor vi har placeret ISO-billederne — mynfs01.example.com:/exports/ovirt-backup. Det anbefales ikke at gemme arkiver på samme maskine, hvor Engine kører.

Vi installerer og aktiverer autofs:

$ sudo yum install autofs
$ sudo systemctl enable autofs
$ sudo systemctl start autofs

Vi opretter et script:

$ sudo vim /etc/cron.daily/make.oVirt.backup.sh

med følgende indhold:

#!/bin/bash

datetime=`date +"%F.%R"`
backupdir="/net/mynfs01.example.com/exports/ovirt-backup"
filename="$backupdir/`hostname --short`.`date +"%F.%R"`"
engine-backup --mode=backup --scope=all --file=$filename.data --log=$filename.log
#uncomment next line for autodelete files older 30 days 
#find $backupdir -type f -mtime +30 -exec rm -f {} ;

Gør filen eksekverbar:

$ sudo chmod a+x /etc/cron.daily/make.oVirt.backup.sh

Nu vil vi hver nat modtage en arkiv af managerens indstillinger.

Management-interface til værter

Cockpit — et moderne administrationsinterface til Linux-systemer. I dette tilfælde fungerer det som et webinterface lignende det i ESXi.

Fig. 3 — udseendet af panelet.

Installeres meget nemt, pakkerne cockpit og plugin'et cockpit-ovirt-dashboard er nødvendige:

$ sudo yum install cockpit cockpit-ovirt-dashboard -y

Aktivering af Cockpit:

$ sudo systemctl enable --now cockpit.socket

Konfiguration af firewall:

sudo firewall-cmd --add-service=cockpit
sudo firewall-cmd --add-service=cockpit --permanent

Nu kan du forbinde til værten: https://[Host IP or FQDN]:9090

VLANs

Læs mere om netværk i dokumentationen. Der er mange muligheder; her beskriver vi forbindelsen af virtuelle netværk.

For at forbinde andre subnet skal de først beskrives i konfigurationen: Network -> Networks -> New, hvor det eneste obligatoriske felt er navnet; afkrydsningsfeltet VM Network, der tillader maskiner at bruge dette netværk, er markeret, og for at forbinde tagget skal du aktivere Enable VLAN tagging, indtaste VLAN-nummeret og trykke Ok.

Nu skal vi gå til Compute Hosts -> Hosts -> kvmNN -> Network Interfaces -> Setup Host Networks. Det tilføjede netværk fra højre side Unassigned Logical Networks skal trækkes til venstre i Assigned Logical Networks:

Fig. 4 — før tilføjelse af netværket.

Fig. 5 — efter tilføjelse af netværket.

For massetilkobling af flere netværk til værten er det praktisk at tildele dem label(eller), når du opretter netværk, og tilføje netværk efter labels.

Efter at netværket er oprettet, vil værter overgå til Non Operational-tilstand, indtil netværket er tilføjet til alle noder i klyngen. Denne opførsel skyldes indstillingen Require All på fanen Cluster, når der oprettes et nyt netværk. Hvis netværket ikke er nødvendigt på alle noder i klyngen, kan denne indstilling deaktiveres, så netværket ved tilføjelse til værten vises til højre i sektionen Non Required, og man kan vælge, om det skal tilsluttes til en specifik vært.

Fig. 6 — valg af netværkskrav.

HPE-specifik

Næsten alle producenter har værktøjer, der forbedrer brugervenligheden med deres produkter. For eksempel HPE, nyttige værktøjer inkluderer AMS (Agentless Management Service, amsd for iLO5, hp-ams for iLO4) og SSA (Smart Storage Administrator, arbejde med diskcontroller) mv.

Tilslutning til HPE-repositoriet
Vi importerer nøglen og tilslutter HPE-repositorierne:

$ sudo rpm --import https://downloads.linux.hpe.com/SDR/hpePublicKey2048_key1.pub
$ sudo vim /etc/yum.repos.d/mcp.repo

med følgende indhold:

[mcp]
name=Management Component Pack
baseurl=http://downloads.linux.hpe.com/repo/mcp/centos/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

[spp]
name=Service Pack for ProLiant
baseurl=http://downloads.linux.hpe.com/SDR/repo/spp/RHEL/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

Vis detaljer om indholdet i repositoriet og pakkeoplysninger (reference):

$ sudo yum --disablerepo="*" --enablerepo="mcp" list available
$ yum info amsd

Installation og opstart:

$ sudo yum install amsd ssacli
$ sudo systemctl start amsd

Eksempel på værktøjsarbejde med diskcontrolleren

Det var alt for nu. I de kommende artikler planlægger jeg at fortælle om nogle grundlæggende operationer og anvendelser. F.eks. hvordan man laver VDI i oVirt.

Kilde: habr.com