🥇oVirt nan 2 èdtan. Pati 3: Anviwònman avanse

Nan atik sa a nou pral gade yon kantite anviwònman opsyonèl men itil:

itilize non adisyonèl pou manadjè a;
konekte otantifikasyon atravè Active Directory;
Mutlipathing;
jesyon pouvwa;
ranplase sètifika SSL;
achiv;
koòdone jesyon lame (kabinè);
VLAN yo;
HPE espesifik.

Atik sa a se yon kontinyasyon, gade oVirt nan 2 èdtan pou kòmansman an KONNEN pati и pati 2.

Atik

Entwodiksyon
Enstale manadjè a (ovirt-engine) ak hypervisors (lame)
Anviwònman adisyonèl - Nou isit la

Anviwònman manadjè adisyonèl

Pou konvenyans, nou pral enstale pakè adisyonèl:

$ sudo yum install bash-completion vim

Pou pèmèt fini lòd, bash-completion mande pou chanje nan bash.

Ajoute lòt non DNS

Sa a pral obligatwa lè ou bezwen konekte ak manadjè a lè l sèvi avèk yon non altènatif (CNAME, alyas, oswa jis yon non kout san yon sifiks domèn). Pou rezon sekirite, manadjè a pèmèt koneksyon sèlman lè l sèvi avèk lis non yo pèmèt.

Kreye yon fichye konfigirasyon:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-sso-setup.conf

kontni sa a:

SSO_ALTERNATE_ENGINE_FQDNS="ovirt.example.com some.alias.example.com ovirt"

epi rekòmanse manadjè a:

$ sudo systemctl restart ovirt-engine

Mete kanpe otantifikasyon atravè AD

oVirt gen yon baz itilizatè entegre, men founisè LDAP ekstèn yo sipòte tou, enkli. A.D.

Fason ki pi senp pou yon konfigirasyon tipik se lanse sòsye an ak rekòmanse manadjè a:

$ sudo yum install ovirt-engine-extension-aaa-ldap-setup
$ sudo ovirt-engine-extension-aaa-ldap-setup
$ sudo systemctl restart ovirt-engine

Yon egzanp travay yon mèt
$ sudo ovirt-engine-extension-aaa-ldap-setup
Enplemantasyon LDAP ki disponib:
...
3 - Anyè aktif
...
Tanpri chwazi: 3
Tanpri antre non Active Directory Forest: example.com

Tanpri chwazi pwotokòl pou itilize (startTLS, ldaps, plain) [startTLS]:
Tanpri chwazi metòd pou jwenn sètifika CA kode PEM (Fichiye, URL, Inline, Sistèm, Ensekirite): URL
URL: wwwca.example.com/myRootCA.pem
Antre DN itilizatè rechèch (pa egzanp uid = non itilizatè, dc = egzanp, dc = com oswa kite vid pou anonim): CN = oVirt-Engine, CN = Itilizatè, DC = egzanp, DC = com
Antre modpas itilizatè rechèch la: *modpas*
[ ENFO ] Eseye mare lè l sèvi avèk 'CN=oVirt-Engine,CN=Itilizatè,DC=egzanp,DC=com'
Èske w pral itilize Single Sign-On pou machin vityèl (Wi, Non) [Wi]:
Tanpri presize non pwofil ki pral vizib pou itilizatè yo [egzanp.com]:
Tanpri bay kalifikasyon yo pou teste flux login:
Mete non itilizatè: someAnyUser
Antre modpas itilizatè:
...
[INFO] Sekans login egzekite avèk siksè
...
Chwazi sekans tès pou egzekite (Fè, Avòte, Konekte, Rechèch) [Fè]:
[INFO] Etap: konfigirasyon tranzaksyon
...
REZIME KONFIGURASYON
...

Sèvi ak sòsye an apwopriye pou pifò ka yo. Pou konfigirasyon konplèks, anviwònman yo fèt manyèlman. Plis detay nan dokiman oVirt, Itilizatè yo ak wòl yo. Apre w fin konekte motè a ak AD, yon pwofil adisyonèl ap parèt nan fenèt koneksyon an, ak sou tab la Permissions Objè sistèm yo gen kapasite pou bay otorizasyon itilizatè ak gwoup AD yo. Li ta dwe remake ke moun ki anyè ekstèn itilizatè yo ak gwoup yo ka pa sèlman AD, men tou, IPA, eDirectory, elatriye.

Multipathing

Nan yon anviwònman pwodiksyon, sistèm depo a dwe konekte ak lame a atravè plizyè chemen I/O endepandan. Kòm yon règ, nan CentOS (ak Se poutèt sa oVirt) pa gen okenn pwoblèm ak rasanble plizyè chemen nan yon aparèy (find_multipaths wi). Yo ekri lòt paramèt pou FCoE 2yèm pati. Li se vo peye atansyon sou rekòmandasyon an nan manifakti a sistèm depo - anpil rekòmande pou itilize politik la wonn-robin, men pa default nan Enterprise Linux 7 sèvis-tan yo itilize.

Sèvi ak 3PAR kòm yon egzanp
ak dokiman HPE 3PAR Red Hat Enterprise Linux, CentOS Linux, Oracle Linux, ak OracleVM Server Implementation Guide EL kreye kòm yon Host ak Jenerik-ALUA Persona 2, pou ki valè sa yo antre nan paramèt /etc/multipath.conf:

defaults {
           polling_interval      10
           user_friendly_names   no
           find_multipaths       yes
          }
devices {
          device {
                   vendor                   "3PARdata"
                   product                  "VV"
                   path_grouping_policy     group_by_prio
                   path_selector            "round-robin 0"
                   path_checker             tur
                   features                 "0"
                   hardware_handler         "1 alua"
                   prio                     alua
                   failback                 immediate
                   rr_weight                uniform
                   no_path_retry            18
                   rr_min_io_rq             1
                   detect_prio              yes
                   fast_io_fail_tmo         10
                   dev_loss_tmo             "infinity"
                 }
}

Apre sa, yo bay lòd pou rekòmanse:

systemctl restart multipathd

Diri. 1 se defo miltip I/O politik.

Diri. 2 - plizyè politik I/O apre w fin aplike paramèt.

Mete kanpe jesyon pouvwa

Pèmèt ou fè, pou egzanp, yon reset pyès ki nan konpitè nan machin nan si motè a pa ka resevwa yon repons nan men Host la pou yon tan long. Aplike atravè Fence Agent.

Kalkile -> Gen tout pouvwa a -> LAME - Edit -> Jesyon pouvwa, Lè sa a, pèmèt "Pèmèt Jesyon pouvwa" epi ajoute yon ajan - "Ajoute ajan kloti" -> +.

Nou endike kalite a (pa egzanp, pou iLO5 ou bezwen presize ilo4), non/adrès koòdone ipmi a, ansanm ak non itilizatè/modpas la. Li rekòmande pou kreye yon itilizatè separe (pa egzanp, oVirt-PM) epi, nan ka iLO, ba li privilèj:

Konekte'w
Remote Console
Virtuel pouvwa ak Reyajiste
Virtual Media
Konfigure Paramèt iLO
Administre kont itilizatè yo

Pa mande poukisa sa a se konsa, li te chwazi anpirik. Ajan kloti konsole a mande mwens dwa.

Lè w ap mete lis kontwòl aksè, ou ta dwe sonje ke ajan an kouri pa sou motè a, men sou yon lame "vwazen" (sa yo rele Power Management Proxy), sa vle di, si gen yon sèl ne nan gwoup la, jesyon pouvwa ap travay pa pral.

Mete kanpe SSL

Enstriksyon ofisyèl konplè - nan dokiman, Anèks D: oVirt ak SSL — Ranplase Sètifika SSL/TLS oVirt Engine.

Sètifika a ka swa soti nan CA antrepriz nou an oswa nan yon otorite ekstèn sètifika komèsyal.

Nòt enpòtan: Sètifika a fèt pou konekte ak manadjè a epi li pa pral afekte kominikasyon ant motè a ak nœuds yo - yo pral sèvi ak sètifika oto-siyen ki soti nan motè a.

Kondisyon:

sètifika CA ki bay la nan fòma PEM, ak tout chèn jiska rasin CA (soti nan CA ki bay sibòdone nan kòmansman rive nan rasin nan fen);
yon sètifika pou Apache emèt pa CA a bay (tou complétée pa chèn nan tout sètifika CA);
kle prive pou Apache, san modpas.

Ann sipoze CA ki bay nou an ap kouri CentOS, ki rele subca.example.com, epi demann, kle, ak sètifika yo sitiye nan /etc/pki/tls/ anyè.

Nou fè sovgad epi kreye yon anyè tanporè:

$ sudo cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.`date +%F`
$ sudo cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.`date +%F`
$ sudo mkdir /opt/certs
$ sudo chown mgmt.mgmt /opt/certs

Telechaje sètifika, fè li nan estasyon travay ou oswa transfere li nan yon lòt fason pratik:

[myuser@mydesktop] $ scp -3 [email protected]:/etc/pki/tls/cachain.pem [email protected]:/opt/certs
[myuser@mydesktop] $ scp -3 [email protected]:/etc/pki/tls/private/ovirt.key [email protected]:/opt/certs
[myuser@mydesktop] $ scp -3 [email protected]/etc/pki/tls/certs/ovirt.crt [email protected]:/opt/certs

Kòm yon rezilta, ou ta dwe wè tout 3 fichye yo:

$ ls /opt/certs
cachain.pem  ovirt.crt  ovirt.key

Enstale sètifika

Kopi fichye yo epi mete ajou lis konfyans yo:

$ sudo cp /opt/certs/cachain.pem /etc/pki/ca-trust/source/anchors
$ sudo update-ca-trust
$ sudo rm /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/cachain.pem /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/ovirt03.key /etc/pki/ovirt-engine/keys/apache.key.nopass
$ sudo cp /opt/certs/ovirt03.crt /etc/pki/ovirt-engine/certs/apache.cer
$ sudo systemctl restart httpd.service

Ajoute / mete ajou dosye konfigirasyon:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf

ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""

$ sudo vim /etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf

SSL_CERTIFICATE=/etc/pki/ovirt-engine/certs/apache.cer
SSL_KEY=/etc/pki/ovirt-engine/keys/apache.key.nopass

$ sudo vim /etc/ovirt-imageio-proxy/ovirt-imageio-proxy.conf

# Key file for SSL connections
ssl_key_file = /etc/pki/ovirt-engine/keys/apache.key.nopass
# Certificate file for SSL connections
ssl_cert_file = /etc/pki/ovirt-engine/certs/apache.cer

Apre sa, rekòmanse tout sèvis ki afekte yo:

$ sudo systemctl restart ovirt-provider-ovn.service
$ sudo systemctl restart ovirt-imageio-proxy
$ sudo systemctl restart ovirt-websocket-proxy
$ sudo systemctl restart ovirt-engine.service

Pare! Li lè pou w konekte ak manadjè a epi tcheke si koneksyon an pwoteje pa yon sètifika SSL ki siyen.

Achiv

Ki kote nou ta ye san li? Nan seksyon sa a nou pral pale sou achiv manadjè; Achiv VM se yon pwoblèm separe. Nou pral fè kopi achiv yo yon fwa pa jou epi estoke yo atravè NFS, pou egzanp, sou menm sistèm nan kote nou mete imaj ISO yo - mynfs1.example.com:/exports/ovirt-backup. Li pa rekòmande pou estoke achiv yo sou menm machin kote motè a ap kouri.

Enstale ak pèmèt autofs:

$ sudo yum install autofs
$ sudo systemctl enable autofs
$ sudo systemctl start autofs

Ann kreye yon script:

$ sudo vim /etc/cron.daily/make.oVirt.backup.sh

kontni sa a:

#!/bin/bash

datetime=`date +"%F.%R"`
backupdir="/net/mynfs01.example.com/exports/ovirt-backup"
filename="$backupdir/`hostname --short`.`date +"%F.%R"`"
engine-backup --mode=backup --scope=all --file=$filename.data --log=$filename.log
#uncomment next line for autodelete files older 30 days 
#find $backupdir -type f -mtime +30 -exec rm -f {} ;

Fè dosye a ègzekutabl:

$ sudo chmod a+x /etc/cron.daily/make.oVirt.backup.sh

Koulye a, chak swa nou pral resevwa yon achiv nan anviwònman manadjè.

Koòdone jesyon lame

Kabinè — yon koòdone administratif modèn pou sistèm Linux. Nan ka sa a, li fè yon wòl ki sanble ak koòdone entènèt ESXi.

Diri. 3 - aparans nan panèl la.

Enstalasyon se trè senp, ou bezwen pakè kabin yo ak plugin cockpit-ovirt-dashboard la:

$ sudo yum install cockpit cockpit-ovirt-dashboard -y

Aktive Cockpit:

$ sudo systemctl enable --now cockpit.socket

Enstalasyon firewall:

sudo firewall-cmd --add-service=cockpit
sudo firewall-cmd --add-service=cockpit --permanent

Koulye a, ou ka konekte ak lame a: https://[Host IP oswa FQDN]:9090

VLAN yo

Ou ta dwe li plis sou rezo nan dokiman. Gen anpil posiblite, isit la nou pral dekri konekte rezo vityèl.

Pou konekte lòt subnets, yo dwe premye dekri nan konfigirasyon an: Rezo -> Rezo -> Nouvo, isit la sèlman non an se yon jaden obligatwa; Kare VM Rezo a, ki pèmèt machin yo sèvi ak rezo sa a, aktive, men pou konekte tag la dwe aktive Pèmèt VLAN tag, antre nimewo VLAN a epi klike sou OK.

Koulye a, ou bezwen ale nan Compute hosts -> Hosts -> kvmNN -> Network Interfaces -> Setup Host Networks. Trennen rezo ki te ajoute a soti nan bò dwat Rezo lojik ki pa asiyen yo sou bò gòch la nan Rezo lojik ki asiyen yo:

Diri. 4 - anvan ou ajoute yon rezo.

Diri. 5 - apre yo fin ajoute yon rezo.

Pou konekte plizyè rezo nan yon lame an gwo, li bon pou bay yon etikèt (yo) lè w ap kreye rezo, epi ajoute rezo pa etikèt.

Apre yo fin kreye rezo a, lame yo pral antre nan eta ki pa operasyonèl jiskaske rezo a ajoute nan tout nœuds nan gwoup la. Konpòtman sa a se koze pa drapo Bezwen tout sou tab la Cluster lè w ap kreye yon nouvo rezo. Nan ka a lè rezo a pa nesesè sou tout nœuds nan gwoup la, drapo sa a ka enfim, Lè sa a, lè yo ajoute rezo a nan yon lame, li pral sou bò dwat la nan seksyon an ki pa obligatwa epi ou ka chwazi si yo konekte. li bay yon lame espesifik.

Diri. 6-chwazi yon atribi kondisyon rezo.

HPE espesifik

Prèske tout manifaktirè yo gen zouti ki amelyore itilizasyon pwodwi yo. Sèvi ak HPE kòm yon egzanp, AMS (Agentless Management Service, amsd pou iLO5, hp-ams pou iLO4) ak SSA (Smart Storage Administrator, travay ak yon kontwolè disk), elatriye yo itil.

Konekte depo HPE a
Nou enpòte kle a epi konekte depo HPE yo:

$ sudo rpm --import https://downloads.linux.hpe.com/SDR/hpePublicKey2048_key1.pub
$ sudo vim /etc/yum.repos.d/mcp.repo

kontni sa a:

[mcp]
name=Management Component Pack
baseurl=http://downloads.linux.hpe.com/repo/mcp/centos/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

[spp]
name=Service Pack for ProLiant
baseurl=http://downloads.linux.hpe.com/SDR/repo/spp/RHEL/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

Gade sa ki nan repozitwa ak enfòmasyon pakè (pou referans):

$ sudo yum --disablerepo="*" --enablerepo="mcp" list available
$ yum info amsd

Enstalasyon ak lansman:

$ sudo yum install amsd ssacli
$ sudo systemctl start amsd

Yon egzanp yon sèvis piblik pou travay ak yon kontwolè ki gen kapasite

Se tout pou kounye a. Nan atik sa yo mwen planifye pou pale sou kèk operasyon debaz ak aplikasyon yo. Pou egzanp, ki jan fè VDI nan oVirt.

Sous: www.habr.com

oVirt nan 2 èdtan. Pati 3. Anviwònman adisyonèl

Atik

Anviwònman manadjè adisyonèl

Ajoute lòt non DNS

Mete kanpe otantifikasyon atravè AD

Multipathing

Mete kanpe jesyon pouvwa

Mete kanpe SSL

Enstale sètifika

Achiv

Koòdone jesyon lame

VLAN yo

HPE espesifik