ProHoster > Blog > Administration > oVirt in 2 Stunden. Teil 3. ZusÀtzliche Einstellungen

oVirt in 2 Stunden. Teil 3. ZusÀtzliche Einstellungen

In diesem Artikel werden wir eine Reihe von optionalen, aber nĂŒtzlichen Einstellungen untersuchen:

Dieser Artikel ist eine Fortsetzung, den Anfang finden Sie in oVirt in 2 Stunden Teil 1 und Teil 2.

Artikel

  1. EinfĂŒhrung
  2. Installation des Managers (ovirt-engine) und der Hypervisoren (Hosts)
  3. ZusĂ€tzliche Einstellungen – Hier sind wir

ZusÀtzliche Einstellungen des Managers

Um die Arbeit zu erleichtern, installieren wir zusÀtzliche Pakete:

$ sudo yum install bash-completion vim

Um die Bash-VervollstĂ€ndigung zu aktivieren, mĂŒssen Sie in die Bash wechseln.

HinzufĂŒgen zusĂ€tzlicher DNS-Namen

Dies ist erforderlich, wenn eine Verbindung zum Manager unter einem alternativen Namen (CNAME, Alias oder einfach einem kurzen Namen ohne Domain-Suffix) hergestellt werden muss. Aus SicherheitsgrĂŒnden erlaubt der Manager die Verbindung nur ĂŒber eine genehmigte Namensliste.

Erstellen Sie die Konfigurationsdatei:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-sso-setup.conf

des folgenden Inhalts:

SSO_ALTERNATE_ENGINE_FQDNS="ovirt.example.com some.alias.example.com ovirt"

und starten Sie den Manager neu:

$ sudo systemctl restart ovirt-engine

Konfiguration der Authentifizierung ĂŒber AD

oVirt hat eine integrierte Benutzerdatenbank, unterstĂŒtzt jedoch auch externe LDAP-Anbieter, einschließlich AD.

Der einfachste Weg fĂŒr eine Standardkonfiguration besteht darin, den Assistenten zu starten und den Manager neu zu starten:

$ sudo yum install ovirt-engine-extension-aaa-ldap-setup
$ sudo ovirt-engine-extension-aaa-ldap-setup
$ sudo systemctl restart ovirt-engine

Beispiel fĂŒr die Arbeit des Assistenten
$ sudo ovirt-engine-extension-aaa-ldap-setup
VerfĂŒgbare LDAP-Implementierungen:


3 – Active Directory


Bitte auswÀhlen: 3
Bitte geben Sie den Namen der Active Directory-Umgebung ein: example.com

Bitte wÀhlen Sie das Protokoll aus, das verwendet werden soll (startTLS, ldaps, plain) [startTLS]:
Bitte wÀhlen Sie die Methode zur Beschaffung des PEM-codierten CA-Zertifikats (Datei, URL, Inline, System, Unsicher): URL
URL: wwwca.example.com/myRootCA.pem
Geben Sie den DN des Suchbenutzers ein (zum Beispiel uid=username,dc=example,dc=com oder leer lassen fĂŒr anonym): CN=oVirt-Engine,CN=Users,DC=example,DC=com
Geben Sie das Passwort des Suchbenutzers ein: *passwort*
[ INFO ] Versuch, sich mit ‘CN=oVirt-Engine,CN=Users,DC=example,DC=com’ zu verbinden
Wollen Sie Single Sign-On fĂŒr virtuelle Maschinen verwenden (Ja, Nein) [Ja]:
Bitte geben Sie den Profilnamen an, der Benutzern angezeigt wird [example.com]:
Bitte geben Sie Anmeldeinformationen ein, um den Anmeldeablauf zu testen:
Benutzernamen eingeben: someAnyUser
Passwort des Benutzers eingeben:


[ INFO ] Anmeldefolge erfolgreich ausgefĂŒhrt


WĂ€hlen Sie die auszufĂŒhrende Testsequenz aus (Fertig, Abbrechen, Anmelden, Suche) [Fertig]:
[ INFO ] Stufe: Transaktionssetup


KONFIGURATIONSÜBERSICHT



Die Verwendung des Assistenten eignet sich fĂŒr die meisten FĂ€lle. FĂŒr komplexe Konfigurationen werden die Einstellungen manuell vorgenommen. Weitere Einzelheiten finden Sie in der Dokumentation zu oVirt, Benutzer und Rollen. Nach erfolgreicher Verbindung des Engines mit AD wird im Verbindungsfenster ein zusĂ€tzliches Profil angezeigt, und im Tab Berechtigungen Die Objekte des Systems haben die Möglichkeit, Berechtigungen an Benutzer und AD-Gruppen zu vergeben. Es ist zu beachten, dass das externe Verzeichnis fĂŒr Benutzer und Gruppen nicht nur AD, sondern auch IPA, eDirectory usw. sein kann.

Multipathing

In einer Produktionsumgebung muss das Speichersystem ĂŒber mehrere unabhĂ€ngige Pfade mit dem Host verbunden sein, um Mehrfach-I/O zu ermöglichen. In der Regel treten in CentOS (und daher in oVirt) keine Probleme beim Erkennen mehrerer Pfade zu einem GerĂ€t auf (find_multipaths yes). Weitere Einstellungen fĂŒr FCoE sind in Teil 2beschrieben. Es ist jedoch zu beachten, dass der Hersteller des Speichersystems – viele empfehlen die Verwendung der Round-Robin-Politik, wĂ€hrend standardmĂ€ĂŸig in Enterprise Linux 7 die Servicezeit verwendet wird.

Am Beispiel von 3PAR
und dem Dokument HPE 3PAR Red Hat Enterprise Linux, CentOS Linux, Oracle Linux und OracleVM Server Implementierungsleitfaden wird EL als Host mit der Generic-ALUA Persona 2 erstellt, fĂŒr den folgende Werte in die Konfiguration /etc/multipath.conf eingegeben werden:

defaults {
           polling_interval      10
           user_friendly_names   no
           find_multipaths       yes
          }
devices {
          device {
                   vendor                   "3PARdata"
                   product                  "VV"
                   path_grouping_policy     group_by_prio
                   path_selector            "round-robin 0"
                   path_checker             tur
                   features                 "0"
                   hardware_handler         "1 alua"
                   prio                     alua
                   failback                 immediate
                   rr_weight                uniform
                   no_path_retry            18
                   rr_min_io_rq             1
                   detect_prio              yes
                   fast_io_fail_tmo         10
                   dev_loss_tmo             "infinity"
                 }
}

Nach dem wird der Befehl zum Neustart gegeben:

systemctl restart multipathd

oVirt in 2 Stunden. Teil 3. ZusÀtzliche Einstellungen
Abb. 1 – Standard-Multipathing-Politik.

oVirt in 2 Stunden. Teil 3. ZusÀtzliche Einstellungen
Abb. 2 – Multipathing-Politik nach Anwendung der Einstellungen.

Stromverwaltungs-Einstellungen

Erlaubt, beispielsweise einen Hardware-Reset der Maschine durchzufĂŒhren, wenn die Engine ĂŒber lĂ€ngere Zeit keine Antwort vom Host erhĂ€lt. Wird ĂŒber den Fence-Agent (Absicherung-Agent) realisiert.

Compute -> Hosts -> HOST — Edit -> Power Management, dann "Enable Power Management" aktivieren und den Agenten hinzufĂŒgen – "Add Fence Agent" -> +.

Geben Sie den Typ an (z.B. fĂŒr iLO5 muss ilo4 angegeben werden), den Namen/Adresse des ipmi-Interfaces sowie den Namen/Passwort des Benutzers. Es wird empfohlen, einen separaten Benutzer zu erstellen (z.B. oVirt-PM) und ihm im Falle von iLO die Berechtigungen zu erteilen:

  • Anmelden
  • Remote Console
  • Virtual Power and Reset
  • Virtual Media
  • iLO-Einstellungen konfigurieren
  • Benutzerkonten verwalten

Fragen Sie nicht, warum es genau so ist, es wurde empirisch ausgewÀhlt. Der konsolenbasierte Fencing-Agent benötigt ein geringeres Berechtigungsset.

Bei der Konfiguration von Zugriffskontrolllisten sollte beachtet werden, dass der Agent nicht auf dem Engine ausgefĂŒhrt wird, sondern auf dem 'benachbarten' Host (dem sogenannten Power Management Proxy), d. h. wenn im Cluster nur ein Knoten vorhanden ist, funktioniert das Energiemanagement. Informationen.

SSL-Konfiguration

Die vollstĂ€ndige offizielle Anleitung finden Sie in Dokumentation, Anhang D: oVirt und SSL – Ersetzen des oVirt Engine SSL/TLS-Zertifikats.

Das Zertifikat kann von unserer Unternehmens-CA oder von einer externen kommerziellen Zertifizierungsstelle stammen.

Wichtiger Hinweis: Das Zertifikat ist fĂŒr die Verbindung zum Manager gedacht und hat keinen Einfluss auf die Interaktion zwischen Engine und Knoten – diese verwenden selbstsignierte Zertifikate, die von der Engine ausgegeben werden.

Anforderungen:

  • Zertifikat der ausstellenden CA im PEM-Format, mit der gesamten Kette bis zur Root-CA (von der untergeordneten ausstellenden bis zur Root-CA am Ende);
  • Zertifikat fĂŒr Apache, ausgegeben von der ausstellenden CA (auch ergĂ€nzt mit der gesamten Kette der CA-Zertifikate);
  • privater SchlĂŒssel fĂŒr Apache, ohne Passwort.

Angenommen, unser Zertifizierungszentrum lĂ€uft unter CentOS, heißt subca.example.com, und die Anfragen, SchlĂŒssel und Zertifikate befinden sich im Verzeichnis /etc/pki/tls/.

Wir erstellen Backups und legen ein temporÀres Verzeichnis an:

$ sudo cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.`date +%F`
$ sudo cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.`date +%F`
$ sudo mkdir /opt/certs
$ sudo chown mgmt.mgmt /opt/certs

Zertifikate herunterladen, dies kann von Ihrem Arbeitsstation aus erfolgen oder auf andere geeignete Weise ĂŒbertragen werden:

[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/cachain.pem mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/private/ovirt.key mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com/etc/pki/tls/certs/ovirt.crt mgmt@ovirt.example.com:/opt/certs

Sie sollten schließlich alle 3 Dateien sehen:

$ ls /opt/certs
cachain.pem  ovirt.crt  ovirt.key

Installation der Zertifikate

Wir kopieren die Dateien und aktualisieren die Vertrauenslisten:

$ sudo cp /opt/certs/cachain.pem /etc/pki/ca-trust/source/anchors
$ sudo update-ca-trust
$ sudo rm /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/cachain.pem /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/ovirt03.key /etc/pki/ovirt-engine/keys/apache.key.nopass
$ sudo cp /opt/certs/ovirt03.crt /etc/pki/ovirt-engine/certs/apache.cer
$ sudo systemctl restart httpd.service

Konfigurationsdateien hinzufĂŒgen/aktualisieren:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf
ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""
$ sudo vim /etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf
SSL_ZERTIFIKAT=\/etc\/pki\/ovirt-engine\/certs\/apache.cer
SSL_SCHLUSSEL=\/etc\/pki\/ovirt-engine\/keys\/apache.key.nopass
$ sudo vim \/etc\/ovirt-imageio-proxy\/ovirt-imageio-proxy.conf
# Key file for SSL connections
ssl_key_file = /etc/pki/ovirt-engine/keys/apache.key.nopass
# Certificate file for SSL connections
ssl_cert_file = /etc/pki/ovirt-engine/certs/apache.cer

Als NĂ€chstes starten wir alle betroffenen Dienste neu:

$ sudo systemctl restart ovirt-provider-ovn.service
$ sudo systemctl restart ovirt-imageio-proxy
$ sudo systemctl restart ovirt-websocket-proxy
$ sudo systemctl restart ovirt-engine.service

Fertig! Es ist Zeit, sich mit dem Manager zu verbinden und zu ĂŒberprĂŒfen, ob die Verbindung mit einem signierten SSL-Zertifikat geschĂŒtzt ist.

Archivierung

Wo wĂ€re man ohne sie! In diesem Abschnitt geht es um die Archivierung des Managers; die Archivierung von VMs ist ein separates Thema. Wir werden tĂ€gliche Sicherungskopien erstellen und sie ĂŒber NFS ablegen, z.B. auf demselben System, wo wir die ISO-Images platziert haben — mynfs01.example.com:\/exports\/ovirt-backup. Es wird nicht empfohlen, Archive auf demselben Rechner zu speichern, auf dem der Engine lĂ€uft.

Wir installieren und aktivieren autofs:

$ sudo yum install autofs
$ sudo systemctl enable autofs
$ sudo systemctl start autofs

Wir erstellen ein Skript:

$ sudo vim \/etc\/cron.daily\/make.oVirt.backup.sh

des folgenden Inhalts:

#!/bin/bash

datetime=`date +"%F.%R"`
backupdir="/net/mynfs01.example.com/exports/ovirt-backup"
filename="$backupdir/`hostname --short`.`date +"%F.%R"`"
engine-backup --mode=backup --scope=all --file=$filename.data --log=$filename.log
#uncomment next line for autodelete files older 30 days 
#find $backupdir -type f -mtime +30 -exec rm -f {} ;

Wir machen die Datei ausfĂŒhrbar:

$ sudo chmod a+x \/etc\/cron.daily\/make.oVirt.backup.sh

Jetzt erhalten wir jede Nacht ein Archiv der Manager-Einstellungen.

Management-Schnittstelle der Hosts

Cockpit — eine moderne administrative Schnittstelle fĂŒr Linux-Systeme. In diesem Fall erfĂŒllt sie eine Funktion, die der Webschnittstelle von ESXi Ă€hnlich ist.

oVirt in 2 Stunden. Teil 3. ZusÀtzliche Einstellungen
Abb. 3 — Aussehen des Panels.

LÀsst sich sehr einfach installieren, benötigt werden die Pakete cockpit und das Plugin cockpit-ovirt-dashboard:

$ sudo yum install cockpit cockpit-ovirt-dashboard -y

Aktivierung von Cockpit:

$ sudo systemctl enable --now cockpit.socket

Firewall-Einstellungen:

sudo firewall-cmd --add-service=cockpit
sudo firewall-cmd --add-service=cockpit --permanent

Jetzt kann man sich mit dem Host verbinden: https:\/[Host-IP oder FQDN]:9090

VLANs

FĂŒr eine genauere Betrachtung der Netzwerke lohnt es sich, zu lesen in Dokumentation. Es gibt viele Möglichkeiten, hier beschreiben wir die Verbindung von virtuellen Netzwerken.

Um andere Subnetze zu verbinden, mĂŒssen diese zunĂ€chst in der Konfiguration beschrieben werden: Netzwerk -> Netzwerke -> Neu, hierbei ist nur der Name ein Pflichtfeld; das KontrollkĂ€stchen VM-Netzwerk, das Maschinen die Nutzung dieses Netzwerks erlaubt, ist aktiviert, und um das Tagging zu aktivieren, muss man VLAN-Tagging aktivieren, die VLAN-Nummer eingeben und auf Ok klicken.

Nun geht es zu den Compute-Hosts -> Hosts -> kvmNN -> Netzwerkschnittstellen -> Host-Netzwerke einrichten. Das hinzugefĂŒgte Netzwerk aus dem Bereich Unzugeordnete logische Netzwerke nach links in die zugewiesenen logischen Netzwerke ziehen:

oVirt in 2 Stunden. Teil 3. ZusÀtzliche Einstellungen
Abb. 4 — vor dem HinzufĂŒgen des Netzwerks.

oVirt in 2 Stunden. Teil 3. ZusÀtzliche Einstellungen
Abb. 5 — nach dem HinzufĂŒgen des Netzwerks.

Um mehrere Netzwerke bequem mit einem Host zu verbinden, ist es praktisch, ihnen beim Erstellen der Netzwerke ein oder mehrere Tags zuzuweisen und die Netzwerke nach Tags hinzuzufĂŒgen.

Nachdem das Netzwerk erstellt wurde, gehen die Hosts in den Status "Non Operational", bis das HinzufĂŒgen des Netzwerks zu allen Knoten im Cluster abgeschlossen ist. Dieses Verhalten wird durch das Merkmal "Require All" im Tab "Cluster" beim Erstellen eines neuen Netzwerks ausgelöst. Falls das Netzwerk nicht auf allen Knoten des Clusters benötigt wird, kann dieses Merkmal deaktiviert werden, sodass das Netzwerk beim HinzufĂŒgen zum Host rechts im Bereich "Non Required" angezeigt wird, und es kann ausgewĂ€hlt werden, ob es an einen bestimmten Host angeschlossen werden soll.

oVirt in 2 Stunden. Teil 3. ZusÀtzliche Einstellungen
Abb. 6 – Auswahl des Netzwerkanforderungsmerkmals.

Spezifisch fĂŒr HPE

Fast alle Hersteller bieten Tools an, die die Arbeit mit ihren Produkten erleichtern. Am Beispiel von HPE sind AMS (Agentless Management Service, amsd fĂŒr iLO5, hp-ams fĂŒr iLO4) und SSA (Smart Storage Administrator, Arbeit mit dem Festplattencontroller) u.a. nĂŒtzlich.

Anbindung des HPE-Repositories
Wir importieren den SchlĂŒssel und binden die HPE-Repositories ein:

$ sudo rpm --import https://downloads.linux.hpe.com/SDR/hpePublicKey2048_key1.pub
$ sudo vim /etc/yum.repos.d/mcp.repo

des folgenden Inhalts:

[mcp]
name=Management Component Pack
baseurl=http://downloads.linux.hpe.com/repo/mcp/centos/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

[spp]
name=Service Pack for ProLiant
baseurl=http://downloads.linux.hpe.com/SDR/repo/spp/RHEL/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

Anzeige des Inhalts des Repositories und Informationen ĂŒber das Paket (zur Information):

$ sudo yum --disablerepo="*" --enablerepo="mcp" list available
$ yum info amsd

Installation und AusfĂŒhrung:

$ sudo yum install amsd ssacli
$ sudo systemctl start amsd

Beispiel der Verwendung des Tools zur Verwaltung von Festplattencontrollern
oVirt in 2 Stunden. Teil 3. ZusÀtzliche Einstellungen

Das wÀre es vorerst. In den nÀchsten Artikeln plane ich, einige grundlegende Operationen und Anwendungen zu erlÀutern. Z.B. wie man VDI in oVirt einrichtet.

Quelle: habr.com

ZuverlĂ€ssiges Hosting fĂŒr Websites mit DDoS-Schutz kaufen, VPS VDS Server đŸ”„ ZuverlĂ€ssiges Hosting fĂŒr Websites mit DDoS-Schutz kaufen, VPS VDS Server - ProHoster