🥇oVirt in 2 Stunden. Teil 3. Zusätzliche Einstellungen

In diesem Artikel betrachten wir eine Reihe von optionalen, aber nützlichen Anpassungen:

Verwendung zusätzlicher Namen für den Manager;
Aktivierung der Authentifizierung über Active Directory;
Multipathing;
Strommanagement;
Austausch des SSL-Zertifikats;
Archivierung;
Management-Interface für Hosts (Cockpit);
VLANs;
Spezifisch für HPE.

Dieser Artikel ist eine Fortsetzung, den Anfang finden Sie in oVirt in 2 Stunden Teil 1 und Teil 2.

Artikel

Einführung
Installation des Managers (ovirt-engine) und der Hypervisoren (Hosts)
Zusätzliche Einstellungen – Wir sind hier

Zusätzliche Einstellungen des Managers

Für eine bessere Benutzererfahrung installieren wir zusätzliche Pakete:

$ sudo yum install bash-completion vim

Um die Bash-Vervollständigung zu aktivieren, müssen Sie in die Bash wechseln.

Hinzufügen zusätzlicher DNS-Namen

Dies ist erforderlich, wenn sich der Manager unter einem alternativen Namen (CNAME, Alias oder einfach einem kurzen Namen ohne Domain-Suffix) verbinden muss. Aus Sicherheitsgründen erlaubt der Manager nur Verbindungen über eine genehmigte Namensliste.

Erstellen Sie die Konfigurationsdatei:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-sso-setup.conf

kubectl-img

SSO_ALTERNATE_ENGINE_FQDNS="ovirt.example.com some.alias.example.com ovirt"

und starten Sie den Manager neu:

$ sudo systemctl restart ovirt-engine

Konfiguration der Authentifizierung über AD

oVirt verfügt über eine integrierte Benutzerdatenbank, unterstützt jedoch auch externe LDAP-Anbieter, einschließlich AD.

Der einfachste Weg für eine Standardkonfiguration ist das Starten des Assistenten und der Neustart des Managers:

$ sudo yum install ovirt-engine-extension-aaa-ldap-setup
$ sudo ovirt-engine-extension-aaa-ldap-setup
$ sudo systemctl restart ovirt-engine

Beispiel für die Bedienung des Assistenten
$ sudo ovirt-engine-extension-aaa-ldap-setup
Verfügbare LDAP-Implementierungen:
…
3 — Active Directory
…
Bitte auswählen: 3
Bitte geben Sie den Namen der Active Directory-Domäne ein: example.com

Bitte wählen Sie das zu verwendende Protokoll (startTLS, ldaps, plain) [startTLS]:
Bitte geben Sie die Methode zum Abrufen des PEM-codierten CA-Zertifikats an (Datei, URL, Inline, System, Unsicher): URL
URL: wwwca.example.com/myRootCA.pem
Geben Sie den DN des Suchbenutzers ein (zum Beispiel uid=username,dc=example,dc=com oder leer lassen für anonym): CN=oVirt-Engine,CN=Users,DC=example,DC=com
Geben Sie das Passwort des Suchbenutzers ein: *passwort*
[INFO] Versuche, sich mit ‘CN=oVirt-Engine,CN=Users,DC=example,DC=com’ zu binden
Möchten Sie Single Sign-On für virtuelle Maschinen verwenden (Ja, Nein) [Yes]:
Bitte geben Sie den Profilnamen an, der für Benutzer sichtbar ist [example.com]:
Bitte geben Sie die Anmeldeinformationen zum Testen des Anmeldeflusses an:
Geben Sie den Benutzernamen ein: someAnyUser
Geben Sie das Passwort des Benutzers ein:
…
[INFO] Anmeldevorgang erfolgreich ausgeführt
…
Wählen Sie die auszuführende Testsequenz (Fertig, Abbrechen, Anmelden, Suchen) [Fertig]:
[INFO] Phase: Transaktionsvorbereitung
…
CONFIGURATION ZUSAMMENFASSUNG
…

Die Verwendung des Assistenten ist für die meisten Fälle geeignet. Für komplexe Konfigurationen werden die Einstellungen manuell durchgeführt. Weitere Informationen finden Sie in der oVirt-Dokumentation. Benutzer und Rollen. Nach erfolgreicher Verbindung der Engine mit AD erscheint im Verbindungsfenster ein zusätzliches Profil, und im Tab Berechtigungen von Systemobjekten besteht die Möglichkeit, Berechtigungen an Benutzer und Gruppen von AD zu vergeben. Es ist zu beachten, dass das externe Verzeichnis für Benutzer und Gruppen nicht nur AD, sondern auch IPA, eDirectory und andere sein kann.

Multipathing

In einer Produktionsumgebung muss das Speichersystem über mehrere unabhängige Pfade mit dem Host verbunden sein, um mehrfachen Datenverkehr zu ermöglichen. In der Regel treten in CentOS (und somit in oVirt) keine Probleme beim Erstellen mehrerer Pfade zum Gerät auf (find_multipaths yes). Über zusätzliche Einstellungen für FCoE wird in der 2. Teilverwiesen. Es ist wichtig, die Empfehlungen des Herstellers der Speicherlösung zu beachten – viele empfehlen die Verwendung der Round-Robin-Politik, während in Enterprise Linux 7 standardmäßig die Service-Zeit verwendet wird.

Am Beispiel von 3PAR
und der Dokumentation HPE 3PAR Red Hat Enterprise Linux, CentOS Linux, Oracle Linux und OracleVM Server Implementierungsleitfaden wird EL als Host mit Generic-ALUA Persona 2 erstellt, in den Einstellungen /etc/multipath.conf werden die folgenden Werte eingetragen:

defaults {
           polling_interval      10
           user_friendly_names   no
           find_multipaths       yes
          }
devices {
          device {
                   vendor                   "3PARdata"
                   product                  "VV"
                   path_grouping_policy     group_by_prio
                   path_selector            "round-robin 0"
                   path_checker             tur
                   features                 "0"
                   hardware_handler         "1 alua"
                   prio                     alua
                   failback                 immediate
                   rr_weight                uniform
                   no_path_retry            18
                   rr_min_io_rq             1
                   detect_prio              yes
                   fast_io_fail_tmo         10
                   dev_loss_tmo             "infinity"
                 }
}

Danach erfolgt der Befehl zum Neustart:

systemctl restart multipathd

Abb. 1 — Standard-Politik für den Multipath-I/O.

Abb. 2 — Multipath-I/O-Politik nach Anwendung der Einstellungen.

Energieverwaltungs-Einstellungen

Ermöglicht beispielsweise einen Hardware-Reset der Maschine, falls der Engine über einen längeren Zeitraum keine Antwort vom Host erhält. Wird durch den Fence Agent (Abschottungsagent) realisiert.

Compute -> Hosts -> HOST — Bearbeiten -> Energieverwaltung, dann "Energieverwaltung aktivieren" und Agenten hinzufügen — "Fence Agent hinzufügen" -> +.

Geben Sie den Typ an (z. B. für iLO5 muss ilo4 angegeben werden), den Namen/Adresse der IPMI-Schnittstelle sowie den Benutzernamen/das Passwort. Es wird empfohlen, einen speziellen Benutzer (z. B. oVirt-PM) zu erstellen und ihm beim iLO entsprechende Berechtigungen zuzuweisen:

Anmelden
Remote-Konsole
Virtuelle Stromversorgung und Zurücksetzen
Virtuelle Medien
iLO-Einstellungen konfigurieren
Benutzerkonten verwalten

Fragen Sie nicht, warum gerade so – dies wurde erprobt. Der Konsolen-Fencing-Agent benötigt weniger Berechtigungen.

Bei der Einrichtung von Zugriffskontrolllisten ist zu beachten, dass der Agent nicht auf dem Engine, sondern auf dem "benachbarten" Host (dem sogenannten Power Management Proxy) ausgeführt wird. Das bedeutet, falls nur ein Knoten im Cluster vorhanden ist, funktioniert das Energiemanagement nicht. angezeigt werden.

SSL-Konfiguration

Die vollständige offizielle Anleitung finden Sie in Dokumentation., Anhang D: oVirt und SSL – Ersetzen des oVirt Engine SSL/TLS-Zertifikats.

Das Zertifikat kann sowohl von unserer Unternehmens-CA als auch von einer externen kommerziellen Zertifizierungsstelle stammen.

Wichtiger Hinweis: Das Zertifikat ist für die Verbindung zum Manager gedacht und hat keinen Einfluss auf die Interaktion zwischen Engine und Knoten – diese verwenden selbst-signierte Zertifikate, die von der Engine ausgestellt wurden.

Anforderungen:

Zertifikat der ausstellenden Zertifizierungsstelle im PEM-Format, mit der gesamten Kette bis zur Root-Zertifizierungsstelle (vom untergeordneten Aussteller zu Beginn bis zur Root am Ende);
Zertifikat für Apache, ausgestellt von der Zertifizierungsstelle (auch ergänzt um die gesamte Kette der Zertifikate);
Privater Schlüssel für Apache, ohne Passwort.

Angenommen, unser Zertifizierungszentrum läuft unter CentOS, heißt subca.example.com, und die Anfragen, Schlüssel und Zertifikate befinden sich im Verzeichnis /etc/pki/tls.

Wir erstellen Backups und legen ein temporäres Verzeichnis an:

$ sudo cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.`date +%F`
$ sudo cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.`date +%F`
$ sudo mkdir /opt/certs
$ sudo chown mgmt.mgmt /opt/certs

Zertifikate herunterladen, entweder von Ihrer Arbeitsstation oder auf andere bequeme Weise:

[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/cachain.pem mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/private/ovirt.key mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/certs/ovirt.crt mgmt@ovirt.example.com:/opt/certs

Sie sollten alle 3 Dateien sehen:

$ ls /opt/certs
cachain.pem  ovirt.crt  ovirt.key

Installation der Zertifikate

Kopieren Sie die Dateien und aktualisieren Sie die Zertifikatsspeicher:

$ sudo cp /opt/certs/cachain.pem /etc/pki/ca-trust/source/anchors
$ sudo update-ca-trust
$ sudo rm /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/cachain.pem /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/ovirt03.key /etc/pki/ovirt-engine/keys/apache.key.nopass
$ sudo cp /opt/certs/ovirt03.crt /etc/pki/ovirt-engine/certs/apache.cer
$ sudo systemctl restart httpd.service

Fügen Sie Konfigurationsdateien hinzu/aktualisieren Sie sie:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf

ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""

$ sudo vim /etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf

SSL_CERTIFICATE=/etc/pki/ovirt-engine/certs/apache.cer
SSL_KEY=/etc/pki/ovirt-engine/keys/apache.key.nopass

$ sudo vim /etc/ovirt-imageio-proxy/ovirt-imageio-proxy.conf

# Key file for SSL connections
ssl_key_file = /etc/pki/ovirt-engine/keys/apache.key.nopass
# Certificate file for SSL connections
ssl_cert_file = /etc/pki/ovirt-engine/certs/apache.cer

Starten Sie nun alle betroffenen Dienste neu:

$ sudo systemctl restart ovirt-provider-ovn.service
$ sudo systemctl restart ovirt-imageio-proxy
$ sudo systemctl restart ovirt-websocket-proxy
$ sudo systemctl restart ovirt-engine.service

Fertig! Es ist Zeit, sich mit dem Manager zu verbinden und zu überprüfen, ob die Verbindung durch ein signiertes SSL-Zertifikat gesichert ist.

Archivierung

Wo wären wir ohne! In diesem Abschnitt geht es um die Archivierung des Managers; die Archivierung von VMs ist ein separates Thema. Wir erstellen einmal täglich Sicherungskopien und speichern sie per NFS, z. B. auf dem gleichen System, auf dem wir die ISO-Images abgelegt haben — mynfs01.example.com:/exports/ovirt-backup. Es wird nicht empfohlen, Archive auf demselben Rechner zu speichern, auf dem der Engine läuft.

Installieren und aktivieren Sie autofs:

$ sudo yum install autofs
$ sudo systemctl enable autofs
$ sudo systemctl start autofs

Erstellen Sie das Skript:

$ sudo vim /etc/cron.daily/make.oVirt.backup.sh

kubectl-img

#!/bin/bash

datetime=`date +"%F.%R"`
backupdir="/net/mynfs01.example.com/exports/ovirt-backup"
filename="$backupdir/`hostname --short`.`date +"%F.%R"`"
engine-backup --mode=backup --scope=all --file=$filename.data --log=$filename.log
#uncomment next line for autodelete files older 30 days 
#find $backupdir -type f -mtime +30 -exec rm -f {} ;

Machen Sie die Datei ausführbar:

$ sudo chmod a+x /etc/cron.daily/make.oVirt.backup.sh

Jetzt erhalten wir jede Nacht ein Archiv der Manager-Einstellungen.

Management-Interface für Hosts

Cockpit — eine moderne Verwaltungsoberfläche für Linux-Systeme. In diesem Fall fungiert es ähnlich wie die Weboberfläche von ESXi.

Abb. 3 — Aussehen des Panels.

Die Installation ist ganz einfach, es werden die Pakete cockpit und das Plugin cockpit-ovirt-dashboard benötigt:

$ sudo yum install cockpit cockpit-ovirt-dashboard -y

Aktivierung von Cockpit:

$ sudo systemctl enable --now cockpit.socket

Firewall-Konfiguration:

sudo firewall-cmd --add-service=cockpit
sudo firewall-cmd --add-service=cockpit --permanent

Jetzt kann man sich mit dem Host verbinden: https://[Host IP oder FQDN]:9090

VLANs

Details zu Netzwerken sollten in Dokumentation.nachgelesen werden. Es gibt viele Möglichkeiten; hier beschreiben wir die Verbindung von virtuellen Netzwerken.

Um sich mit anderen Subnetzen zu verbinden, müssen diese zuerst in der Konfiguration beschrieben werden: Netzwerk -> Netzwerke -> Neu. Hier ist das einzige Pflichtfeld der Name; das Kontrollkästchen VM-Netzwerk, das Maschinen die Nutzung dieses Netzwerks erlaubt, ist aktiviert, und für die Verbindung des Tags muss VLAN-Tagging aktivieren, die VLAN-Nummer eingegeben und auf Ok geklickt werden.

Jetzt müssen Sie zu Compute -> Hosts -> kvmNN -> Netzwerkinterfaces -> Hostnetzwerke einrichten. Ziehen Sie das hinzugefügte Netzwerk von den Unassigned Logical Networks auf der rechten Seite in die Assigned Logical Networks auf der linken Seite.

Abbildung 4 — vor dem Hinzufügen des Netzwerks.

Abbildung 5 — nach dem Hinzufügen des Netzwerks.

Um mehrere Netzwerke gleichzeitig mit einem Host zu verbinden, ist es praktisch, beim Erstellen der Netzwerke Tags zu vergeben und die Netzwerke nach Tags hinzuzufügen.

Nach dem Erstellen des Netzwerks wechseln die Hosts in den Status Non Operational, während das Hinzufügen des Netzwerks zu allen Knoten des Clusters abgeschlossen wird. Dieses Verhalten wird durch das Merkmal Require All auf der Registerkarte Cluster beim Erstellen eines neuen Netzwerks verursacht. Wenn das Netzwerk nicht auf allen Knoten des Clusters benötigt wird, kann dieses Merkmal deaktiviert werden; das Netzwerk erscheint dann beim Hinzufügen zum Host in der rechten Sektion Non Required, und es kann ausgewählt werden, ob es mit einem bestimmten Host verbunden werden soll.

Abbildung 6 — Auswahl des Merkmals für die Netzwerkanforderung.

Spezifisch für HPE

Fast alle Hersteller bieten Tools an, die die Arbeit mit ihren Produkten erleichtern. Ein Beispiel hierfür ist HPE, nützlich sind AMS (Agentless Management Service, amsd für iLO5, hp-ams für iLO4) und SSA (Smart Storage Administrator, zur Verwaltung von Festplattencontrollern) und andere.

HPE-Repository anschließen
Importieren Sie den Schlüssel und verbinden Sie die HPE-Repositorys:

$ sudo rpm --import https://downloads.linux.hpe.com/SDR/hpePublicKey2048_key1.pub
$ sudo vim /etc/yum.repos.d/mcp.repo

kubectl-img

[mcp]
name=Management Component Pack
baseurl=http://downloads.linux.hpe.com/repo/mcp/centos/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

[spp]
name=Service Pack for ProLiant
baseurl=http://downloads.linux.hpe.com/SDR/repo/spp/RHEL/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

Überblick über den Inhalt des Repositories und Paketinformationen (Referenz):

$ sudo yum --disablerepo="*" --enablerepo="mcp" list available
$ yum info amsd

Installation und Ausführung:

$ sudo yum install amsd ssacli
$ sudo systemctl start amsd

Beispiel der Funktionsweise des Dienstprogramms für den Festplattcontroller

Das wäre es erstmal. In den nächsten Artikeln plane ich, einige grundlegende Operationen und Anwendungen zu besprechen, z.B. wie man ein VDI in oVirt erstellt.

Quelle: habr.com