ProHoster > Blog > Administration > oVirt en 2 heures. Partie 3. Paramètres supplémentaires

oVirt en 2 heures. Partie 3. Paramètres supplémentaires

Dans cet article, nous examinerons un certain nombre de paramètres facultatifs mais utiles :

Cet article est une suite, veuillez consulter oVirt en 2 heures pour le commencement Partie 1 et partie 2.

Articles

  1. Introduction
  2. Installation du gestionnaire (ovirt-engine) et des hyperviseurs (hôtes)
  3. Paramètres supplémentaires - Nous y sommes

Paramètres supplémentaires du gestionnaire

Pour faciliter le travail, nous allons installer des paquets supplémentaires :

$ sudo yum install bash-completion vim

Pour activer l'autocomplétion des commandes, il faut passer en bash.

Ajout de noms DNS supplémentaires

Cela sera nécessaire lorsque vous devez vous connecter au gestionnaire par un nom alternatif (CNAME, alias ou simplement un nom court sans suffixe de domaine). Pour des raisons de sécurité, le gestionnaire n'autorise la connexion que via une liste d'adresses autorisées.

Créons le fichier de configuration :

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-sso-setup.conf

avec le contenu suivant :

SSO_ALTERNATE_ENGINE_FQDNS="ovirt.example.com some.alias.example.com ovirt"

et redémarrons le gestionnaire :

$ sudo systemctl restart ovirt-engine

Configuration de l'authentification via AD

oVirt possède une base de données d'utilisateurs intégrée, mais prend également en charge des fournisseurs LDAP externes, y compris AD.

Le moyen le plus simple pour une configuration standard est de lancer l'assistant et de redémarrer le gestionnaire :

$ sudo yum install ovirt-engine-extension-aaa-ldap-setup
$ sudo ovirt-engine-extension-aaa-ldap-setup
$ sudo systemctl restart ovirt-engine

Exemple de fonctionnement de l'assistant
$ sudo ovirt-engine-extension-aaa-ldap-setup
Implémentations LDAP disponibles :
…
3 — Active Directory
…
Veuillez sélectionner : 3
Veuillez entrer le nom de la forêt Active Directory : example.com

Veuillez sélectionner le protocole à utiliser (startTLS, ldaps, plain) [startTLS]:
Veuillez sélectionner la méthode pour obtenir le certificat CA encodé en PEM (Fichier, URL, Inline, Système, Insecure) : URL
URL : wwwca.example.com/myRootCA.pem
Entrez le DN de l'utilisateur de recherche (par exemple uid=username,dc=example,dc=com ou laissez vide pour anonyme) : CN=oVirt-Engine,CN=Users,DC=example,DC=com
Entrez le mot de passe de l'utilisateur de recherche : *motdepasse*
[ INFO ] Tentative de liaison en utilisant ‘CN=oVirt-Engine,CN=Users,DC=example,DC=com’
Allez-vous utiliser l'authentification unique pour les machines virtuelles (Oui, Non) [Oui]:
Veuillez spécifier un nom de profil qui sera visible par les utilisateurs [example.com]:
Veuillez fournir des identifiants pour tester le flux de connexion :
Entrez le nom d'utilisateur : someAnyUser
Entrez le mot de passe de l'utilisateur :
…
[ INFO ] Séquence de connexion exécutée avec succès
…
Sélectionnez la séquence de test à exécuter (Fait, Abandonner, Connexion, Recherche) [Fait]:
[ INFO ] Étape : Configuration de la transaction
…
RÉSUMÉ DE LA CONFIGURATION
…

L'utilisation de l'assistant convient à la plupart des cas. Pour des configurations complexes, les paramètres sont effectués manuellement. Pour plus de détails, voir la documentation oVirt, Utilisateurs et Rôles. Après une connexion réussie de l'Engine à AD, un profil supplémentaire apparaîtra dans la fenêtre de connexion, et dans l'onglet Autorisations Les objets du système ont la possibilité d'attribuer des autorisations aux utilisateurs et groupes AD. Il convient de noter que le répertoire externe des utilisateurs et des groupes peut être non seulement AD, mais également IPA, eDirectory, etc.

Multipathing

Dans un environnement de production, le système de stockage doit être connecté à l'hôte par plusieurs chemins indépendants pour un accès multiple. En règle générale, dans CentOS (et donc dans oVirt), il n'y a pas de problèmes pour assembler plusieurs chemins vers le dispositif (find_multipaths yes). Des configurations supplémentaires pour FCoE sont décrites dans la 2ème partie. Il convient de prêter attention à la recommandation du fabricant du stockage — beaucoup recommandent d'utiliser la politique de round-robin, tandis que par défaut, dans Enterprise Linux 7, c'est service-time qui est utilisé.

À l'exemple de 3PAR
et du document HPE 3PAR Red Hat Enterprise Linux, CentOS Linux, Oracle Linux et OracleVM Server Implementation Guide EL est créé comme Host avec Generic-ALUA Persona 2, pour lequel les valeurs suivantes sont ajoutées à la configuration /etc/multipath.conf :

defaults {
           polling_interval      10
           user_friendly_names   no
           find_multipaths       yes
          }
devices {
          device {
                   vendor                   "3PARdata"
                   product                  "VV"
                   path_grouping_policy     group_by_prio
                   path_selector            "round-robin 0"
                   path_checker             tur
                   features                 "0"
                   hardware_handler         "1 alua"
                   prio                     alua
                   failback                 immediate
                   rr_weight                uniform
                   no_path_retry            18
                   rr_min_io_rq             1
                   detect_prio              yes
                   fast_io_fail_tmo         10
                   dev_loss_tmo             "infinity"
                 }
}

Ensuite, la commande pour redémarrer est donnée :

systemctl restart multipathd

oVirt en 2 heures. Partie 3. Paramètres supplémentaires
Fig. 1 — Politique d'accès multiple par défaut.

oVirt en 2 heures. Partie 3. Paramètres supplémentaires
Fig. 2 — Politique d'accès multiple après application des configurations.

Configuration de la gestion de l'alimentation

Permet, par exemple, d'effectuer un redémarrage matériel de la machine si l'Engine ne parvient pas à obtenir une réponse de l'hôte pendant une période prolongée. Cela se réalise via Fence Agent.

Compute -> Hosts -> HÔTE — Edit -> Power Management, ensuite activer « Enable Power Management » et ajouter un agent — « Add Fence Agent » -> +.

Indiquer le type (par exemple, pour iLO5, il faut indiquer ilo4), le nom/l'adresse de l'interface ipmi, ainsi que le nom/le mot de passe de l'utilisateur. Il est recommandé de créer un utilisateur distinct (par exemple, oVirt-PM) et, dans le cas d'iLO, de lui accorder les privilèges :

  • Connexion
  • Console à distance
  • Alimentation et réinitialisation virtuelles
  • Média virtuel
  • Configurer les paramètres iLO
  • Administrer les comptes utilisateurs

Ne demandez pas pourquoi c'est ainsi, c'est le résultat d'une expérience. L'agent de fencing en mode console nécessite moins de droits.

Lors de la configuration des listes de contrôle d'accès, gardez à l'esprit que l'agent ne s'exécute pas sur l'engine, mais sur un hôte « voisin » (appelé Power Management Proxy), c'est-à-dire que si le cluster ne contient qu'un seul nœud, la gestion de l'alimentation ne fonctionnera pas. il n'y a pas.

Configuration SSL

Le guide officiel complet se trouve dans documentation, Annexe D : oVirt et SSL — Remplacement du certificat SSL/TLS de l'Engine oVirt.

Le certificat peut être émis par notre autorité de certification corporative ou par un centre de certification commercial externe.

Remarque importante : le certificat est destiné à la connexion au gestionnaire, il n'affectera pas l'interaction entre l'Engine et les nœuds — ils utiliseront des certificats auto-signés émis par l'Engine.

Exigences :

  • certificat de l'autorité de certification émettrice au format PEM, avec toute la chaîne jusqu'à l'autorité de certification racine (de l'autorité émettrice intermédiaire au début à la racine à la fin);
  • certificat pour Apache, émis par l'autorité de certification émettrice (également complété par toute la chaîne de certificats d'autorité de certification);
  • clé privée pour Apache, sans mot de passe.

Supposons que notre autorité de certification émettrice fonctionne sous CentOS, s'appelle subca.example.com, et que les demandes, clés et certificats se trouvent dans le répertoire /etc/pki/tls/.

Effectuons des sauvegardes et créons un répertoire temporaire :

$ sudo cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.`date +%F`
$ sudo cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.`date +%F`
$ sudo mkdir /opt/certs
$ sudo chown mgmt.mgmt /opt/certs

Téléchargement des certificats, effectuez-le depuis votre station de travail ou transférez-le par un autre moyen pratique :

[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/cachain.pem mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/private/ovirt.key mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com/etc/pki/tls/certs/ovirt.crt mgmt@ovirt.example.com:/opt/certs

En conséquence, vous devez voir les 3 fichiers :

$ ls /opt/certs
cachain.pem  ovirt.crt  ovirt.key

Installation des certificats

Copiez les fichiers et mettez à jour les listes de confiance :

$ sudo cp /opt/certs/cachain.pem /etc/pki/ca-trust/source/anchors
$ sudo update-ca-trust
$ sudo rm /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/cachain.pem /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/ovirt03.key /etc/pki/ovirt-engine/keys/apache.key.nopass
$ sudo cp /opt/certs/ovirt03.crt /etc/pki/ovirt-engine/certs/apache.cer
$ sudo systemctl restart httpd.service

Ajouter/mettre à jour les fichiers de configuration :

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf
ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""
$ sudo vim /etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf
SSL_CERTIFICATE=\/etc\/pki\/ovirt-engine\/certs\/apache.cer
SSL_KEY=\/etc\/pki\/ovirt-engine\/keys\/apache.key.nopass
$ sudo vim \/etc\/ovirt-imageio-proxy\/ovirt-imageio-proxy.conf
# Key file for SSL connections
ssl_key_file = /etc/pki/ovirt-engine/keys/apache.key.nopass
# Certificate file for SSL connections
ssl_cert_file = /etc/pki/ovirt-engine/certs/apache.cer

Ensuite, nous redémarrons tous les services concernés :

$ sudo systemctl restart ovirt-provider-ovn.service
$ sudo systemctl restart ovirt-imageio-proxy
$ sudo systemctl restart ovirt-websocket-proxy
$ sudo systemctl restart ovirt-engine.service

C'est prêt ! Il est temps de se connecter au gestionnaire et de vérifier que la connexion est sécurisée par un certificat SSL signé.

Archivage

Comment faire sans cela ! Cette section traitera de l'archivage du gestionnaire ; l'archivage des VM est une question distincte. Nous ferons des sauvegardes une fois par jour et les stockerons via NFS, par exemple, sur le même système où nous avons placé les images ISO — mynfs01.example.com:\/exports\/ovirt-backup. Il n'est pas recommandé de stocker des archives sur la même machine que celle où fonctionne l'Engine.

Nous installons et activons autofs :

$ sudo yum install autofs
$ sudo systemctl enable autofs
$ sudo systemctl start autofs

Créons un script :

$ sudo vim \/etc\/cron.daily\/make.oVirt.backup.sh

avec le contenu suivant :

#!/bin/bash

datetime=`date +"%F.%R"`
backupdir="/net/mynfs01.example.com/exports/ovirt-backup"
filename="$backupdir/`hostname --short`.`date +"%F.%R"`"
engine-backup --mode=backup --scope=all --file=$filename.data --log=$filename.log
#uncomment next line for autodelete files older 30 days 
#find $backupdir -type f -mtime +30 -exec rm -f {} ;

Rendons le fichier exécutable :

$ sudo chmod a+x \/etc\/cron.daily\/make.oVirt.backup.sh

Maintenant, chaque nuit, nous allons recevoir un archive des paramètres du gestionnaire.

Interface de gestion des hôtes

Cockpit — interface administrative moderne pour les systèmes Linux. Dans ce cas, elle joue un rôle similaire à une interface web ESXi.

oVirt en 2 heures. Partie 3. Paramètres supplémentaires
Fig. 3 — apparence du panneau.

L'installation est très simple, il faut les paquets cockpit et le plugin cockpit-ovirt-dashboard :

$ sudo yum install cockpit cockpit-ovirt-dashboard -y

Activation de Cockpit :

$ sudo systemctl enable --now cockpit.socket

Configuration du pare-feu :

sudo firewall-cmd --add-service=cockpit
sudo firewall-cmd --add-service=cockpit --permanent

Vous pouvez maintenant vous connecter à l'hôte : https:\/[Host IP or FQDN]:9090

VLANs

Pour en savoir plus sur les réseaux, il vaut la peine de lire documentation. Il y a de nombreuses possibilités, ici nous décrirons la connexion des réseaux virtuels.

Pour connecter d'autres sous-réseaux, il faut d'abord les décrire dans la configuration : Réseau -> Réseaux -> Nouveau, ici le seul champ obligatoire est le nom ; la case à cocher Réseau VM, permettant aux machines d'utiliser ce réseau, doit être cochée, et pour activer l'étiquette il faut cocher Activer le balisage VLAN, entrer le numéro de VLAN et cliquer sur Ok.

Maintenant, il faut aller dans Hôtes Compute -> Hôtes -> kvmNN -> Interfaces réseau -> Configurer les réseaux de l'hôte. Faire glisser le réseau ajouté de la partie droite Réseaux logiques non assignés vers la gauche dans Réseaux logiques assignés :

oVirt en 2 heures. Partie 3. Paramètres supplémentaires
Fig. 4 — avant l'ajout du réseau.

oVirt en 2 heures. Partie 3. Paramètres supplémentaires
Fig. 5 — après l'ajout du réseau.

Pour connecter massivement plusieurs réseaux à un hôte, il est pratique d'attribuer des étiquettes lors de la création des réseaux et d'ajouter des réseaux par étiquettes.

Après la création du réseau, les hôtes passeront à l'état Non opérationnel, tant que l'ajout du réseau à tous les nœuds du cluster n'est pas terminé. Ce comportement est provoqué par le paramètre Require All dans l'onglet Cluster lors de la création d'un nouveau réseau. Dans le cas où le réseau n'est pas nécessaire sur tous les nœuds du cluster, ce paramètre peut être désactivé, et alors le réseau sera, lors de l'ajout à l'hôte, à droite dans la section Non requis, et vous pourrez choisir de le connecter à un hôte spécifique.

oVirt en 2 heures. Partie 3. Paramètres supplémentaires
Fig. 6 — sélection du critère d'exigence du réseau.

Spécifique à HPE

Pratiquement tous les fabricants disposent d'outils améliorant l'utilisation de leurs produits. Par exemple, pour HPE, les utilitaires AMS (Agentless Management Service, amsd pour iLO5, hp-ams pour iLO4) et SSA (Smart Storage Administrator, gestion du contrôleur de disque) sont utiles, ainsi que d'autres.

Connexion au dépôt HPE
Nous importons la clé et connectons les dépôts HPE :

$ sudo rpm --import https://downloads.linux.hpe.com/SDR/hpePublicKey2048_key1.pub
$ sudo vim /etc/yum.repos.d/mcp.repo

avec le contenu suivant :

[mcp]
name=Management Component Pack
baseurl=http://downloads.linux.hpe.com/repo/mcp/centos/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

[spp]
name=Service Pack for ProLiant
baseurl=http://downloads.linux.hpe.com/SDR/repo/spp/RHEL/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

Consultation du contenu du dépôt et des informations sur le paquet (pour référence) :

$ sudo yum --disablerepo="*" --enablerepo="mcp" list available
$ yum info amsd

Installation et démarrage :

$ sudo yum install amsd ssacli
$ sudo systemctl start amsd

Exemple de fonctionnement de l'utilitaire de gestion du contrôleur de disque
oVirt en 2 heures. Partie 3. Paramètres supplémentaires

C'est tout pour l'instant. Dans les prochains articles, je prévois de parler de certaines opérations de base et de leurs applications. Par exemple, comment créer un VDI dans oVirt.

Source : habr.com

Acheter un hébergement fiable pour les sites avec protection DDoS, serveurs VPS VDS 🔥 Acheter un hébergement fiable pour les sites avec protection DDoS, serveurs VPS VDS | ProHoster