🥇oVirt in 2 Stunden. Teil 3. Zusätzliche Einstellungen

In diesem Artikel werden wir eine Reihe von optionalen, aber nützlichen Einstellungen untersuchen:

Verwendung zusätzlicher Namen für den Manager;
Aktivierung der Authentifizierung über Active Directory;
Mutlipathing;
Stromverwaltung;
Austausch des SSL-Zertifikats;
Archivierung;
Management-Schnittstelle für Hosts (Cockpit);
VLANs;
Spezifisch für HPE.

Dieser Artikel ist eine Fortsetzung, den Anfang finden Sie in oVirt in 2 Stunden Teil 1 und Teil 2.

Artikel

Einführung
Installation des Managers (ovirt-engine) und der Hypervisoren (Hosts)
Zusätzliche Einstellungen – Hier sind wir

Zusätzliche Einstellungen des Managers

Um die Arbeit zu erleichtern, installieren wir zusätzliche Pakete:

$ sudo yum install bash-completion vim

Um die Bash-Vervollständigung zu aktivieren, müssen Sie in die Bash wechseln.

Hinzufügen zusätzlicher DNS-Namen

Dies ist erforderlich, wenn eine Verbindung zum Manager unter einem alternativen Namen (CNAME, Alias oder einfach einem kurzen Namen ohne Domain-Suffix) hergestellt werden muss. Aus Sicherheitsgründen erlaubt der Manager die Verbindung nur über eine genehmigte Namensliste.

Erstellen Sie die Konfigurationsdatei:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-sso-setup.conf

des folgenden Inhalts:

SSO_ALTERNATE_ENGINE_FQDNS="ovirt.example.com some.alias.example.com ovirt"

und starten Sie den Manager neu:

$ sudo systemctl restart ovirt-engine

Konfiguration der Authentifizierung über AD

oVirt hat eine integrierte Benutzerdatenbank, unterstützt jedoch auch externe LDAP-Anbieter, einschließlich AD.

Der einfachste Weg für eine Standardkonfiguration besteht darin, den Assistenten zu starten und den Manager neu zu starten:

$ sudo yum install ovirt-engine-extension-aaa-ldap-setup
$ sudo ovirt-engine-extension-aaa-ldap-setup
$ sudo systemctl restart ovirt-engine

Beispiel für die Arbeit des Assistenten
$ sudo ovirt-engine-extension-aaa-ldap-setup
Verfügbare LDAP-Implementierungen:
…
3 – Active Directory
…
Bitte auswählen: 3
Bitte geben Sie den Namen der Active Directory-Umgebung ein: example.com

Bitte wählen Sie das Protokoll aus, das verwendet werden soll (startTLS, ldaps, plain) [startTLS]:
Bitte wählen Sie die Methode zur Beschaffung des PEM-codierten CA-Zertifikats (Datei, URL, Inline, System, Unsicher): URL
URL: wwwca.example.com/myRootCA.pem
Geben Sie den DN des Suchbenutzers ein (zum Beispiel uid=username,dc=example,dc=com oder leer lassen für anonym): CN=oVirt-Engine,CN=Users,DC=example,DC=com
Geben Sie das Passwort des Suchbenutzers ein: *passwort*
[ INFO ] Versuch, sich mit ‘CN=oVirt-Engine,CN=Users,DC=example,DC=com’ zu verbinden
Wollen Sie Single Sign-On für virtuelle Maschinen verwenden (Ja, Nein) [Ja]:
Bitte geben Sie den Profilnamen an, der Benutzern angezeigt wird [example.com]:
Bitte geben Sie Anmeldeinformationen ein, um den Anmeldeablauf zu testen:
Benutzernamen eingeben: someAnyUser
Passwort des Benutzers eingeben:
…
[ INFO ] Anmeldefolge erfolgreich ausgeführt
…
Wählen Sie die auszuführende Testsequenz aus (Fertig, Abbrechen, Anmelden, Suche) [Fertig]:
[ INFO ] Stufe: Transaktionssetup
…
KONFIGURATIONSÜBERSICHT
…

Die Verwendung des Assistenten eignet sich für die meisten Fälle. Für komplexe Konfigurationen werden die Einstellungen manuell vorgenommen. Weitere Einzelheiten finden Sie in der Dokumentation zu oVirt, Benutzer und Rollen. Nach erfolgreicher Verbindung des Engines mit AD wird im Verbindungsfenster ein zusätzliches Profil angezeigt, und im Tab Berechtigungen Die Objekte des Systems haben die Möglichkeit, Berechtigungen an Benutzer und AD-Gruppen zu vergeben. Es ist zu beachten, dass das externe Verzeichnis für Benutzer und Gruppen nicht nur AD, sondern auch IPA, eDirectory usw. sein kann.

Multipathing

In einer Produktionsumgebung muss das Speichersystem über mehrere unabhängige Pfade mit dem Host verbunden sein, um Mehrfach-I/O zu ermöglichen. In der Regel treten in CentOS (und daher in oVirt) keine Probleme beim Erkennen mehrerer Pfade zu einem Gerät auf (find_multipaths yes). Weitere Einstellungen für FCoE sind in Teil 2beschrieben. Es ist jedoch zu beachten, dass der Hersteller des Speichersystems – viele empfehlen die Verwendung der Round-Robin-Politik, während standardmäßig in Enterprise Linux 7 die Servicezeit verwendet wird.

Am Beispiel von 3PAR
und dem Dokument HPE 3PAR Red Hat Enterprise Linux, CentOS Linux, Oracle Linux und OracleVM Server Implementierungsleitfaden wird EL als Host mit der Generic-ALUA Persona 2 erstellt, für den folgende Werte in die Konfiguration /etc/multipath.conf eingegeben werden:

defaults {
           polling_interval      10
           user_friendly_names   no
           find_multipaths       yes
          }
devices {
          device {
                   vendor                   "3PARdata"
                   product                  "VV"
                   path_grouping_policy     group_by_prio
                   path_selector            "round-robin 0"
                   path_checker             tur
                   features                 "0"
                   hardware_handler         "1 alua"
                   prio                     alua
                   failback                 immediate
                   rr_weight                uniform
                   no_path_retry            18
                   rr_min_io_rq             1
                   detect_prio              yes
                   fast_io_fail_tmo         10
                   dev_loss_tmo             "infinity"
                 }
}

Nach dem wird der Befehl zum Neustart gegeben:

systemctl restart multipathd

Abb. 1 – Standard-Multipathing-Politik.

Abb. 2 – Multipathing-Politik nach Anwendung der Einstellungen.

Stromverwaltungs-Einstellungen

Erlaubt, beispielsweise einen Hardware-Reset der Maschine durchzuführen, wenn die Engine über längere Zeit keine Antwort vom Host erhält. Wird über den Fence-Agent (Absicherung-Agent) realisiert.

Compute -> Hosts -> HOST — Edit -> Power Management, dann "Enable Power Management" aktivieren und den Agenten hinzufügen – "Add Fence Agent" -> +.

Geben Sie den Typ an (z.B. für iLO5 muss ilo4 angegeben werden), den Namen/Adresse des ipmi-Interfaces sowie den Namen/Passwort des Benutzers. Es wird empfohlen, einen separaten Benutzer zu erstellen (z.B. oVirt-PM) und ihm im Falle von iLO die Berechtigungen zu erteilen:

Anmelden
Remote Console
Virtual Power and Reset
Virtual Media
iLO-Einstellungen konfigurieren
Benutzerkonten verwalten

Fragen Sie nicht, warum es genau so ist, es wurde empirisch ausgewählt. Der konsolenbasierte Fencing-Agent benötigt ein geringeres Berechtigungsset.

Bei der Konfiguration von Zugriffskontrolllisten sollte beachtet werden, dass der Agent nicht auf dem Engine ausgeführt wird, sondern auf dem 'benachbarten' Host (dem sogenannten Power Management Proxy), d. h. wenn im Cluster nur ein Knoten vorhanden ist, funktioniert das Energiemanagement. Informationen.

SSL-Konfiguration

Die vollständige offizielle Anleitung finden Sie in Dokumentation, Anhang D: oVirt und SSL – Ersetzen des oVirt Engine SSL/TLS-Zertifikats.

Das Zertifikat kann von unserer Unternehmens-CA oder von einer externen kommerziellen Zertifizierungsstelle stammen.

Wichtiger Hinweis: Das Zertifikat ist für die Verbindung zum Manager gedacht und hat keinen Einfluss auf die Interaktion zwischen Engine und Knoten – diese verwenden selbstsignierte Zertifikate, die von der Engine ausgegeben werden.

Anforderungen:

Zertifikat der ausstellenden CA im PEM-Format, mit der gesamten Kette bis zur Root-CA (von der untergeordneten ausstellenden bis zur Root-CA am Ende);
Zertifikat für Apache, ausgegeben von der ausstellenden CA (auch ergänzt mit der gesamten Kette der CA-Zertifikate);
privater Schlüssel für Apache, ohne Passwort.

Angenommen, unser Zertifizierungszentrum läuft unter CentOS, heißt subca.example.com, und die Anfragen, Schlüssel und Zertifikate befinden sich im Verzeichnis /etc/pki/tls/.

Wir erstellen Backups und legen ein temporäres Verzeichnis an:

$ sudo cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.`date +%F`
$ sudo cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.`date +%F`
$ sudo mkdir /opt/certs
$ sudo chown mgmt.mgmt /opt/certs

Zertifikate herunterladen, dies kann von Ihrem Arbeitsstation aus erfolgen oder auf andere geeignete Weise übertragen werden:

[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/cachain.pem mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/private/ovirt.key mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com/etc/pki/tls/certs/ovirt.crt mgmt@ovirt.example.com:/opt/certs

Sie sollten schließlich alle 3 Dateien sehen:

$ ls /opt/certs
cachain.pem  ovirt.crt  ovirt.key

Installation der Zertifikate

Wir kopieren die Dateien und aktualisieren die Vertrauenslisten:

$ sudo cp /opt/certs/cachain.pem /etc/pki/ca-trust/source/anchors
$ sudo update-ca-trust
$ sudo rm /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/cachain.pem /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/ovirt03.key /etc/pki/ovirt-engine/keys/apache.key.nopass
$ sudo cp /opt/certs/ovirt03.crt /etc/pki/ovirt-engine/certs/apache.cer
$ sudo systemctl restart httpd.service

Konfigurationsdateien hinzufügen/aktualisieren:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf

ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""

$ sudo vim /etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf

SSL_ZERTIFIKAT=\/etc\/pki\/ovirt-engine\/certs\/apache.cer
SSL_SCHLUSSEL=\/etc\/pki\/ovirt-engine\/keys\/apache.key.nopass

$ sudo vim \/etc\/ovirt-imageio-proxy\/ovirt-imageio-proxy.conf

# Key file for SSL connections
ssl_key_file = /etc/pki/ovirt-engine/keys/apache.key.nopass
# Certificate file for SSL connections
ssl_cert_file = /etc/pki/ovirt-engine/certs/apache.cer

Als Nächstes starten wir alle betroffenen Dienste neu:

$ sudo systemctl restart ovirt-provider-ovn.service
$ sudo systemctl restart ovirt-imageio-proxy
$ sudo systemctl restart ovirt-websocket-proxy
$ sudo systemctl restart ovirt-engine.service

Fertig! Es ist Zeit, sich mit dem Manager zu verbinden und zu überprüfen, ob die Verbindung mit einem signierten SSL-Zertifikat geschützt ist.

Archivierung

Wo wäre man ohne sie! In diesem Abschnitt geht es um die Archivierung des Managers; die Archivierung von VMs ist ein separates Thema. Wir werden tägliche Sicherungskopien erstellen und sie über NFS ablegen, z.B. auf demselben System, wo wir die ISO-Images platziert haben — mynfs01.example.com:\/exports\/ovirt-backup. Es wird nicht empfohlen, Archive auf demselben Rechner zu speichern, auf dem der Engine läuft.

Wir installieren und aktivieren autofs:

$ sudo yum install autofs
$ sudo systemctl enable autofs
$ sudo systemctl start autofs

Wir erstellen ein Skript:

$ sudo vim \/etc\/cron.daily\/make.oVirt.backup.sh

des folgenden Inhalts:

#!/bin/bash

datetime=`date +"%F.%R"`
backupdir="/net/mynfs01.example.com/exports/ovirt-backup"
filename="$backupdir/`hostname --short`.`date +"%F.%R"`"
engine-backup --mode=backup --scope=all --file=$filename.data --log=$filename.log
#uncomment next line for autodelete files older 30 days 
#find $backupdir -type f -mtime +30 -exec rm -f {} ;

Wir machen die Datei ausführbar:

$ sudo chmod a+x \/etc\/cron.daily\/make.oVirt.backup.sh

Jetzt erhalten wir jede Nacht ein Archiv der Manager-Einstellungen.

Management-Schnittstelle der Hosts

Cockpit — eine moderne administrative Schnittstelle für Linux-Systeme. In diesem Fall erfüllt sie eine Funktion, die der Webschnittstelle von ESXi ähnlich ist.

Abb. 3 — Aussehen des Panels.

Lässt sich sehr einfach installieren, benötigt werden die Pakete cockpit und das Plugin cockpit-ovirt-dashboard:

$ sudo yum install cockpit cockpit-ovirt-dashboard -y

Aktivierung von Cockpit:

$ sudo systemctl enable --now cockpit.socket

Firewall-Einstellungen:

sudo firewall-cmd --add-service=cockpit
sudo firewall-cmd --add-service=cockpit --permanent

Jetzt kann man sich mit dem Host verbinden: https:\/[Host-IP oder FQDN]:9090

VLANs

Für eine genauere Betrachtung der Netzwerke lohnt es sich, zu lesen in Dokumentation. Es gibt viele Möglichkeiten, hier beschreiben wir die Verbindung von virtuellen Netzwerken.

Um andere Subnetze zu verbinden, müssen diese zunächst in der Konfiguration beschrieben werden: Netzwerk -> Netzwerke -> Neu, hierbei ist nur der Name ein Pflichtfeld; das Kontrollkästchen VM-Netzwerk, das Maschinen die Nutzung dieses Netzwerks erlaubt, ist aktiviert, und um das Tagging zu aktivieren, muss man VLAN-Tagging aktivieren, die VLAN-Nummer eingeben und auf Ok klicken.

Nun geht es zu den Compute-Hosts -> Hosts -> kvmNN -> Netzwerkschnittstellen -> Host-Netzwerke einrichten. Das hinzugefügte Netzwerk aus dem Bereich Unzugeordnete logische Netzwerke nach links in die zugewiesenen logischen Netzwerke ziehen:

Abb. 4 — vor dem Hinzufügen des Netzwerks.

Abb. 5 — nach dem Hinzufügen des Netzwerks.

Um mehrere Netzwerke bequem mit einem Host zu verbinden, ist es praktisch, ihnen beim Erstellen der Netzwerke ein oder mehrere Tags zuzuweisen und die Netzwerke nach Tags hinzuzufügen.

Nachdem das Netzwerk erstellt wurde, gehen die Hosts in den Status "Non Operational", bis das Hinzufügen des Netzwerks zu allen Knoten im Cluster abgeschlossen ist. Dieses Verhalten wird durch das Merkmal "Require All" im Tab "Cluster" beim Erstellen eines neuen Netzwerks ausgelöst. Falls das Netzwerk nicht auf allen Knoten des Clusters benötigt wird, kann dieses Merkmal deaktiviert werden, sodass das Netzwerk beim Hinzufügen zum Host rechts im Bereich "Non Required" angezeigt wird, und es kann ausgewählt werden, ob es an einen bestimmten Host angeschlossen werden soll.

Abb. 6 – Auswahl des Netzwerkanforderungsmerkmals.

Spezifisch für HPE

Fast alle Hersteller bieten Tools an, die die Arbeit mit ihren Produkten erleichtern. Am Beispiel von HPE sind AMS (Agentless Management Service, amsd für iLO5, hp-ams für iLO4) und SSA (Smart Storage Administrator, Arbeit mit dem Festplattencontroller) u.a. nützlich.

Anbindung des HPE-Repositories
Wir importieren den Schlüssel und binden die HPE-Repositories ein:

$ sudo rpm --import https://downloads.linux.hpe.com/SDR/hpePublicKey2048_key1.pub
$ sudo vim /etc/yum.repos.d/mcp.repo

des folgenden Inhalts:

[mcp]
name=Management Component Pack
baseurl=http://downloads.linux.hpe.com/repo/mcp/centos/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

[spp]
name=Service Pack for ProLiant
baseurl=http://downloads.linux.hpe.com/SDR/repo/spp/RHEL/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

Anzeige des Inhalts des Repositories und Informationen über das Paket (zur Information):

$ sudo yum --disablerepo="*" --enablerepo="mcp" list available
$ yum info amsd

Installation und Ausführung:

$ sudo yum install amsd ssacli
$ sudo systemctl start amsd

Beispiel der Verwendung des Tools zur Verwaltung von Festplattencontrollern

Das wäre es vorerst. In den nächsten Artikeln plane ich, einige grundlegende Operationen und Anwendungen zu erläutern. Z.B. wie man VDI in oVirt einrichtet.

Quelle: habr.com