ProHoster > Blog > Adminisztráció > oVirt 2 óra alatt. 3. rész. További beállítások

oVirt 2 óra alatt. 3. rész. További beállítások

Ebben a cikkben hasznos beállítások sorozatát fogjuk megvizsgálni:

Ez a cikk a folytatás, az elejét lásd az oVirt 2 órában 1. rész és 2. rész.

Cikkek

  1. Bevezetés
  2. Az ovirt-engine és a hypervisorok (hosts) telepítése
  3. További beállítások — Itt vagyunk

A menedzser további beállításai

A munka megkönnyítése érdekében felteszünk további csomagokat:

$ sudo yum install bash-completion vim

Az automatikus kiegészítés engedélyezéséhez a bash-completion-nek bash-re kell váltania.

További DNS nevek hozzáadása

Ez szükséges, amikor a menedzserhez alternatív néven (CNAME, alias vagy egyszerűen rövid név domain utótag nélkül) kell csatlakozni. Biztonsági okokból a menedzser csak a megengedett névlistán szereplő nevekkel engedélyezi a csatlakozást.

Hozzuk létre a konfigurációs fájlt:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-sso-setup.conf

a következő tartalommal:

SSO_ALTERNATE_ENGINE_FQDNS="ovirt.example.com some.alias.example.com ovirt"

és újraindítjuk a menedzsert:

$ sudo systemctl restart ovirt-engine

Hitelesítés beállítása AD-n keresztül

Az oVirt beépített felhasználói adatbázissal rendelkezik, de külső LDAP szolgáltatókat, köztük AD-t is támogat.

A legkönnyebb módja a tipikus beállításnak a varázsló elindítása és a menedzser újraindítása:

$ sudo yum install ovirt-engine-extension-aaa-ldap-setup
$ sudo ovirt-engine-extension-aaa-ldap-setup
$ sudo systemctl restart ovirt-engine

A varázsló működésének példája
$ sudo ovirt-engine-extension-aaa-ldap-setup
Elérhető LDAP megoldások:
…
3 — Active Directory
…
Kérjük, válasszon: 3
Kérjük, adja meg az Active Directory Forest nevét: example.com

Kérjük, válassza a használni kívánt protokollt (startTLS, ldaps, plain) [startTLS]:
Kérjük, válasszon módszert a PEM kódolt CA tanúsítvány megszerzésére (Fájl, URL, Inline, Rendszer, Bizonytalan): URL
URL: wwwca.example.com/myRootCA.pem
Adja meg a keresési felhasználó DN-t (például uid=username,dc=example,dc=com vagy hagyja üresen anonimhoz): CN=oVirt-Engine,CN=Users,DC=example,DC=com
Adja meg a keresési felhasználó jelszavát: *jelszó*
[ INFO ] Próbálkozás a következővel: 'CN=oVirt-Engine,CN=Users,DC=example,DC=com'
Használni fogja a Single Sign-On funkciót virtuális gépekhez (Igen, Nem) [Igen]:
Kérjük, adja meg a felhasználók számára látható profil nevét [example.com]:
Kérjük, adjon meg hitelesítő adatokat a bejelentkezési folyamat teszteléséhez:
Adja meg a felhasználó nevét: someAnyUser
Adja meg a felhasználó jelszavát:
…
[ INFO ] A bejelentkezési folyamat sikeresen végrehajtva
…
Válassza ki a végrehajtandó tesztfolyamatot (Kész, Megszakít, Bejelentkezés, Keresés) [Kész]:
[ INFO ] Színhely: Tranzakció beállítása
…
KONFIGURÁCIÓS ÖSSZEFOGLALÁS
…

A varázsló használata a legtöbb esetben megfelelő. Bonyolult beállítások esetén a konfigurációkat kézzel kell elvégezni. További információk az oVirt dokumentációjában. Felhasználók és szerepkörök. A sikeres csatlakozás után az Engine megjelenik az AD-hez, egy további profil fog megjelenni a csatlakozási ablakban, és a fülön Engedélyek A rendszer objektumainak lehetőségük van jogosultságokat kiadni felhasználóknak és AD csoportoknak. Érdemes megjegyezni, hogy a felhasználók és csoportok külső katalógusa nemcsak AD lehet, hanem IPA, eDirectory és mások is.

Multipath

A termelői környezetben a tárolórendszert több független kapcsolaton kell csatlakoztatni a gazdagépekhez, a több bemeneti-kimeneti rendszer szerint. Általában a CentOS-ban (és így az oVirt-ben) nem merülnek fel problémák az eszközhöz történő többszörös útvonal létrehozásában (find_multipaths yes). A FCoE további beállításairól a 2. részbenérdemes megemlíteni a tárolórendszer gyártójának ajánlását — sokan round-robin politikát javasolnak, míg az Enterprise Linux 7 alapértelmezetten service-time-ot használ.

A 3PAR példáján
és a dokumentumban HPE 3PAR Red Hat Enterprise Linux, CentOS Linux, Oracle Linux és OracleVM Server Implementációs Útmutató EL Generic-ALUA Persona 2-ként kerül létrehozásra gazdagépként, ennek megfelelően a /etc/multipath.conf beállításaiban a következő értékek kerülnek beírásra:

defaults {
           polling_interval      10
           user_friendly_names   no
           find_multipaths       yes
          }
devices {
          device {
                   vendor                   "3PARdata"
                   product                  "VV"
                   path_grouping_policy     group_by_prio
                   path_selector            "round-robin 0"
                   path_checker             tur
                   features                 "0"
                   hardware_handler         "1 alua"
                   prio                     alua
                   failback                 immediate
                   rr_weight                uniform
                   no_path_retry            18
                   rr_min_io_rq             1
                   detect_prio              yes
                   fast_io_fail_tmo         10
                   dev_loss_tmo             "infinity"
                 }
}

Ezek után a parancs a szolgáltatás újraindítására:

systemctl restart multipathd

oVirt 2 óra alatt. 3. rész. További beállítások
1. ábra — alapértelmezett több bemeneti-kimeneti politika.

oVirt 2 óra alatt. 3. rész. További beállítások
2. ábra — a több bemeneti-kimeneti politika a beállítások alkalmazása után.

Energiagazdálkodás beállítása

Lehetővé teszi például a gép hardveres újraindítását, ha az Engine hosszú ideig nem kap választ a gazdagéptől. A Fence Agent (kerítésügynök) révén valósul meg.

Compute -> Hosts -> HOST — Edit -> Power Management, ezután aktiválni kell az „Enable Power Management” opciót és hozzáadni az ügynököt — „Add Fence Agent” -> +.

Itt meg kell adni a típust (például iLO5-höz iLO4-et kell megadni), a felhasználói név/ipmi interfész címét, valamint a felhasználó nevét/jelszavát. Ajánlott egy külön felhasználót létrehozni (például oVirt-PM), és iLO esetén neki privilegiumokat adni:

  • Bejelentkezés
  • Távkonzol
  • Virtuális áramellátás és újraindítás
  • Virtuális média
  • iLO beállítások konfigurálása
  • Felhasználói fiókok kezelése

Ne kérdezze, miért így van, ez tapasztalati úton lett kiválasztva. A konzolos fencing ügynök kevesebb jogot igényel.

A hozzáférési listák beállításakor figyelembe kell venni, hogy az ügynök nem az engine-en fut, hanem egy "szomszédos" hoszton (úgynevezett Power Management Proxy), tehát ha a klaszterben csak egy csomópont van, az energia kezelés nem működik. nem fogja.

SSL beállítása

A teljes hivatalos útmutató itt található: dokumentáció, D. melléklet: oVirt és SSL — Az oVirt Engine SSL/TLS tanúsítványának cseréje.

A tanúsítvány lehet a vállalati CA-nktól, valamint egy külső kereskedelmi tanúsítvány-kiadótól is.

Fontos megjegyzés: a tanúsítvány a menedzserhez való csatlakozáshoz készült, nem befolyásolja az Engine és a csomópontok közötti kommunikációt — ezek önaláírt tanúsítványokat fognak használni, amelyeket az Engine adott ki.

Elvárások:

  • a kibocsátó CA tanúsítványának PEM formátumban, az összes lánccal a gyökér CA-ig (a közvetlen kibocsátótól a gyökérig);
  • tanúsítvány az Apache számára, a kibocsátó CA-tól kiadva (szintén az összes tanúsítvány-lánccal kiegészítve);
  • privát kulcs az Apache számára, jelszó nélkül.

Tegyük fel, hogy a kibocsátó tanúsítvány-kiadó CentOS alatt működik, subca.example.com néven, és a kérések, kulcsok és tanúsítványok a /etc/pki/tls/ könyvtárban találhatók.

Biztonsági másolatokat készítünk és létrehozunk egy ideiglenes könyvtárat:

$ sudo cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.`date +%F`
$ sudo cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.`date +%F`
$ sudo mkdir /opt/certs
$ sudo chown mgmt.mgmt /opt/certs

A tanúsítványok letöltése, ezt végrehajthatja a saját munkállomásáról, vagy más kényelmes módszerrel is átadhatja:

[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/cachain.pem mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/private/ovirt.key mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/certs/ovirt.crt mgmt@ovirt.example.com:/opt/certs

Ennek eredményeként három fájlt kell látnia:

$ ls /opt/certs
cachain.pem  ovirt.crt  ovirt.key

Tanúsítványok telepítése

Fájlok másolása és a megbízhatósági listák frissítése:

$ sudo cp /opt/certs/cachain.pem /etc/pki/ca-trust/source/anchors
$ sudo update-ca-trust
$ sudo rm /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/cachain.pem /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/ovirt03.key /etc/pki/ovirt-engine/keys/apache.key.nopass
$ sudo cp /opt/certs/ovirt03.crt /etc/pki/ovirt-engine/certs/apache.cer
$ sudo systemctl restart httpd.service

Konfigurációs fájlok hozzáadása/frissítése:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf
ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""
$ sudo vim /etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf
SSL_CERTIFICATE=\/etc\/pki\/ovirt-engine\/certs\/apache.cer
SSL_KEY=\/etc\/pki\/ovirt-engine\/keys\/apache.key.nopass
$ sudo vim \/etc\/ovirt-imageio-proxy\/ovirt-imageio-proxy.conf
# Key file for SSL connections
ssl_key_file = /etc/pki/ovirt-engine/keys/apache.key.nopass
# Certificate file for SSL connections
ssl_cert_file = /etc/pki/ovirt-engine/certs/apache.cer

Ezután újraindítjuk az összes érintett szolgáltatást:

$ sudo systemctl restart ovirt-provider-ovn.service
$ sudo systemctl restart ovirt-imageio-proxy
$ sudo systemctl restart ovirt-websocket-proxy
$ sudo systemctl restart ovirt-engine.service

Kész! Itt az ideje csatlakozni a menedzserhez és ellenőrizni, hogy a kapcsolat biztonságos, aláírt SSL tanúsítvánnyal védett.

Archívum készítése

Hová is mennénk nélküle! Ebben a szekcióban a menedzser archíválásáról beszélünk, a VM archíválása külön kérdés. Az archivált másolatokat naponta egyszer készítjük és NFS-en tároljuk, például azon a rendszeren, ahol az ISO képeket elhelyeztük — mynfs01.example.com:\/exports\/ovirt-backup. Nem ajánlott az archiválást ugyanazon a gépen tárolni, ahol az Engine működik.

Telepítjük és engedélyezzük az autofs-t:

$ sudo yum install autofs
$ sudo systemctl enable autofs
$ sudo systemctl start autofs

Létrehozunk egy szkriptet:

$ sudo vim \/etc\/cron.daily\/make.oVirt.backup.sh

a következő tartalommal:

#!/bin/bash

datetime=`date +"%F.%R"`
backupdir="/net/mynfs01.example.com/exports/ovirt-backup"
filename="$backupdir/`hostname --short`.`date +"%F.%R"`"
engine-backup --mode=backup --scope=all --file=$filename.data --log=$filename.log
#uncomment next line for autodelete files older 30 days 
#find $backupdir -type f -mtime +30 -exec rm -f {} ;

A fájlt futtathatóvá tesszük:

$ sudo chmod a+x \/etc\/cron.daily\/make.oVirt.backup.sh

Mostantól minden este megkapjuk a menedzser beállításainak archívumát.

Hostok menedzsment interfésze

Cockpit — modern adminisztrációs interfész Linux rendszerekhez. Ebben az esetben az ESXi webes interfésze hasonló szerepet tölt be.

oVirt 2 óra alatt. 3. rész. További beállítások
3. ábra — a panel megjelenése.

Nagyon egyszerűen telepíthető, szükséges a cockpit csomag és a cockpit-ovirt-dashboard plugin:

$ sudo yum install cockpit cockpit-ovirt-dashboard -y

Cockpit aktiválása:

$ sudo systemctl enable --now cockpit.socket

Tűzfal beállítása:

sudo firewall-cmd --add-service=cockpit
sudo firewall-cmd --add-service=cockpit --permanent

Most már csatlakozhatunk a hoszthoz: https:\/[Host IP or FQDN]:9090

VLAN-ok

A hálózatokról részletesebben érdemes elolvasni a dokumentáció. Sok lehetőség van, itt a virtuális hálózatok csatlakozását írjuk le.

Más alhálózatok csatlakoztatásához először le kell írni őket a konfigurációban: Hálózat -> Hálózatok -> Új, itt kötelező mező csak a név; a VM Network jelölőnégyzetet be kell jelölni, hogy a gépek használhassák ezt a hálózatot, a csatlakoztatáshoz pedig engedélyezni kell Enable VLAN tagging, meg kell adni a VLAN számot és megnyomni az Ok gombot.

Most át kell lépni a Compute -> Hostok -> kvmNN -> Hálózati interfészek -> Host hálózatok beállítása. A jobb oldalon lévő Unassigned Logical Networks-ból a bal oldalra helyezni a hozzáadott hálózatot az Assigned Logical Networks-be:

oVirt 2 óra alatt. 3. rész. További beállítások
4. ábra — a hálózat hozzáadása előtt.

oVirt 2 óra alatt. 3. rész. További beállítások
5. ábra — a hálózat hozzáadása után.

Kényelmes több hálózat tömeges csatlakoztatását végezni, ha a hálózatok létrehozásakor címkéket rendelünk hozzájuk, és címkék alapján adjuk hozzá a hálózatokat.

A hálózat létrehozása után a hosztok Non Operational állapotba kerülnek, amíg a hálózat hozzáadása be nem fejeződik a klaszter összes csomópontjához. Ez a viselkedés a Require All jelző miatt történik, amely a Hálózat fülön található, amikor új hálózatot hozunk létre. Ha a hálózatra nincs szükség az összes klaszter csomóponton, akkor ezt a jelzőt kikapcsolhatjuk, így a hálózat a hoszthoz való hozzáadáskor a Non Required szekcióban jelenik meg, és választható, hogy csatlakoztatjuk-e azt egy adott hoszthoz.

oVirt 2 óra alatt. 3. rész. További beállítások
6. ábra - a hálózat igényének beállítása.

HPE specifikus

Majdnem minden gyártónak vannak eszközei, amelyek megkönnyítik a termékeik használatát. Például az HPE-nél hasznos az AMS (Agentless Management Service, amsd az iLO5-höz, hp-ams az iLO4-hez) és az SSA (Smart Storage Administrator, tárolóvezérlő kezelése) és egyebek.

HPE tároló csatlakoztatása
Importáljuk a kulcsot és csatlakoztatjuk az HPE tárolókat:

$ sudo rpm --import https://downloads.linux.hpe.com/SDR/hpePublicKey2048_key1.pub
$ sudo vim /etc/yum.repos.d/mcp.repo

a következő tartalommal:

[mcp]
name=Management Component Pack
baseurl=http://downloads.linux.hpe.com/repo/mcp/centos/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

[spp]
name=Service Pack for ProLiant
baseurl=http://downloads.linux.hpe.com/SDR/repo/spp/RHEL/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

A tároló tartalmának és a csomaginformációnak a megtekintése (referenciaként):

$ sudo yum --disablerepo="*" --enablerepo="mcp" list available
$ yum info amsd

Telepítés és indítás:

$ sudo yum install amsd ssacli
$ sudo systemctl start amsd

A tárolóvezérlővel végzett munka példa
oVirt 2 óra alatt. 3. rész. További beállítások

Ennyit szerettem volna mondani. A következő cikkekben tervezem bemutatni néhány alapvető műveletet és alkalmazást. Például, hogyan készítsünk VDI-t oVirt alatt.

Forrás: habr.com

Megbízható hosting vásárlása weboldalak számára, DDoS védelemmel, VPS VDS szerverek. 🔥 Megbízható webtárhely vásárlása DDoS védelemmel, VPS VDS szerverek | ProHoster