ProHoster > Blog > Amministrazione > oVirt in 2 ore. Parte 3. Configurazioni aggiuntive

oVirt in 2 ore. Parte 3. Configurazioni aggiuntive

In questo articolo esamineremo una serie di impostazioni facoltative, ma utili:

Questo articolo è un seguito, per l'inizio vedere oVirt in 2 ore Parte 1 e parte 2.

Articoli

  1. Introduzione
  2. Installazione del gestore (ovirt-engine) e degli hypervisor (hosts)
  3. Impostazioni aggiuntive – Ecco qui

Impostazioni aggiuntive del manager

Per comodità, installeremo pacchetti aggiuntivi:

$ sudo yum install bash-completion vim

Per abilitare il completamento automatico dei comandi, è necessario passare a bash.

Aggiunta di nomi DNS aggiuntivi

Questo sarà necessario quando il manager deve essere collegato tramite un nome alternativo (CNAME, alias o semplicemente un nome breve senza suffisso di dominio). Per motivi di sicurezza, il manager consente la connessione solo attraverso un elenco di nomi autorizzati.

Creiamo il file di configurazione:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-sso-setup.conf

con il seguente contenuto:

SSO_ALTERNATE_ENGINE_FQDNS="ovirt.example.com some.alias.example.com ovirt"

e riavviamo il manager:

$ sudo systemctl restart ovirt-engine

Configurazione dell'autenticazione tramite AD

oVirt ha un database utenti integrato, ma supporta anche fornitori LDAP esterni, incluso AD.

Il modo più semplice per una configurazione standard è avviare la procedura guidata e riavviare il gestore:

$ sudo yum install ovirt-engine-extension-aaa-ldap-setup
$ sudo ovirt-engine-extension-aaa-ldap-setup
$ sudo systemctl restart ovirt-engine

Esempio di funzionamento della procedura guidata
$ sudo ovirt-engine-extension-aaa-ldap-setup
Implementazioni LDAP disponibili:
…
3 — Active Directory
…
Seleziona per favore: 3
Inserisci il nome della Foresta di Active Directory: example.com

Seleziona il protocollo da utilizzare (startTLS, ldaps, plain) [startTLS]:
Seleziona il metodo per ottenere il certificato CA codificato PEM (File, URL, Inline, System, Insecure): URL
URL: wwwca.example.com/myRootCA.pem
Inserisci il DN utente di ricerca (ad esempio uid=username,dc=example,dc=com o lascia vuoto per anonimo): CN=oVirt-Engine,CN=Users,DC=example,DC=com
Inserisci la password dell'utente di ricerca: *password*
[ INFO ] Tentativo di associazione utilizzando ‘CN=oVirt-Engine,CN=Users,DC=example,DC=com’
Utilizzerai il Single Sign-On per le macchine virtuali (Sì, No) [Yes]:
Specifica il nome del profilo che sarà visibile agli utenti [example.com]:
Fornisci le credenziali per testare il flusso di accesso:
Inserisci il nome utente: someAnyUser
Inserisci la password dell'utente:
…
[ INFO ] Sequenza di accesso eseguita con successo
…
Seleziona la sequenza di test da eseguire (Fatto, Annulla, Accedi, Cerca) [Fatto]:
[ INFO ] Fase: Configurazione della transazione
…
RIEPILOGO CONFIGURAZIONE
…

L'uso della procedura guidata è adatto per la maggior parte dei casi. Per configurazioni complesse, le impostazioni devono essere eseguite manualmente. Ulteriori informazioni nella documentazione di oVirt, Utenti e Ruoli. Dopo una connessione riuscita di Engine a AD, apparirà un profilo aggiuntivo nella finestra di connessione e nella scheda Permessi degli oggetti di sistema — la possibilità di concedere diritti a utenti e gruppi AD. È importante notare che l'elenco di utenti e gruppi esterni può includere non solo AD, ma anche IPA, eDirectory e altri.

Multipath

Nell'ambiente produttivo, il sistema di archiviazione deve essere connesso all'host tramite più percorsi indipendenti di I/O multiplo. Normalmente, in CentOS (e quindi in oVirt) non ci sono problemi nella configurazione di più percorsi verso il dispositivo (find_multipaths yes). Ulteriori configurazioni per FCoE sono descritte nella seconda parte. È consigliabile prestare attenzione alle raccomandazioni del produttore della SAN — molti consigliano di utilizzare la politica round-robin, mentre per impostazione predefinita in Enterprise Linux 7 viene utilizzato service-time.

Nel caso di 3PAR
e del documento Guida all'implementazione di HPE 3PAR Red Hat Enterprise Linux, CentOS Linux, Oracle Linux e OracleVM Server EL è creato come Host con Generic-ALUA Persona 2, per il quale nelle impostazioni /etc/multipath.conf devono essere inseriti i seguenti valori:

defaults {
           polling_interval      10
           user_friendly_names   no
           find_multipaths       yes
          }
devices {
          device {
                   vendor                   "3PARdata"
                   product                  "VV"
                   path_grouping_policy     group_by_prio
                   path_selector            "round-robin 0"
                   path_checker             tur
                   features                 "0"
                   hardware_handler         "1 alua"
                   prio                     alua
                   failback                 immediate
                   rr_weight                uniform
                   no_path_retry            18
                   rr_min_io_rq             1
                   detect_prio              yes
                   fast_io_fail_tmo         10
                   dev_loss_tmo             "infinity"
                 }
}

Dopo di che, si dà il comando per il riavvio:

systemctl restart multipathd

oVirt in 2 ore. Parte 3. Configurazioni aggiuntive
Fig. 1 — politica di multipathing predefinita.

oVirt in 2 ore. Parte 3. Configurazioni aggiuntive
Fig. 2 — politica di multipathing dopo l'applicazione delle impostazioni.

Impostazione della gestione dell'alimentazione

Consente, ad esempio, di eseguire un ripristino hardware della macchina, se l'Engine non riesce a ricevere risposta dal Host per un lungo periodo. Implementato tramite Fence Agent.

Compute -> Hosts -> HOST — Edit -> Power Management, quindi attivare «Enable Power Management» e aggiungere l'agente — «Add Fence Agent» -> +.

Indichiamo il tipo (ad esempio, per iLO5 bisogna specificare ilo4), il nome/l'indirizzo dell'interfaccia ipmi, e anche il nome/password dell'utente. Si consiglia di creare un utente separato (ad esempio, oVirt-PM) e, nel caso di iLO, assegnargli i privilegi necessari:

  • Accesso
  • Console Remota
  • Accensione e Reset Virtuali
  • Media Virtuali
  • Configura Impostazioni iLO
  • Gestisci Account Utente

Non chiedete perché proprio così, è stato determinato per esperienza. L'agente di fencing da console richiede un insieme minore di diritti.

Quando si configurano le liste di controllo degli accessi è importante tenere presente che l'agente viene eseguito non sull'engine, ma su un host "vicino" (il cosiddetto Power Management Proxy), ovvero, se nel cluster c'è solo un nodo, la gestione dell'alimentazione non funzionerà. caricherà.

Configurazione SSL

Le istruzioni ufficiali complete sono in documentazione, Appendix D: oVirt e SSL — Sostituzione del certificato SSL/TLS di oVirt Engine.

Il certificato può provenire sia dal nostro ente di certificazione aziendale, sia da un ente commerciale esterno.

Nota importante: il certificato è destinato alla connessione al manager e non influirà sull'interazione tra Engine e nodi — questi ultimi utilizzeranno certificati autofirmati emessi da Engine.

Requisiti:

  • certificato emesso dall'Autorità di Certificazione in formato PEM, con tutta la catena fino all'Autorità di Certificazione radice (dall'emittente subordinato all'inizio fino all'radice alla fine);
  • certificato per Apache, rilasciato dall'Autorità di Certificazione (anche con tutta la catena di certificati dell'Autorità);
  • chiave privata per Apache, senza password.

Diciamo che il nostro centro di certificazione è in esecuzione su CentOS, si chiama subca.example.com e le richieste, le chiavi e i certificati si trovano nella directory /etc/pki/tls/.

Facciamo backup e creiamo una directory temporanea:

$ sudo cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.`date +%F`
$ sudo cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.`date +%F`
$ sudo mkdir /opt/certs
$ sudo chown mgmt.mgmt /opt/certs

Caricamento dei certificati, eseguiamolo dalla nostra workstation o trasferiamolo in altro modo conveniente:

[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/cachain.pem mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/private/ovirt.key mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/certs/ovirt.crt mgmt@ovirt.example.com:/opt/certs

Di conseguenza, dovresti vedere tutti e 3 i file:

$ ls /opt/certs
cachain.pem  ovirt.crt  ovirt.key

Installazione dei certificati

Copiamo i file e aggiorniamo le liste di fiducia:

$ sudo cp /opt/certs/cachain.pem /etc/pki/ca-trust/source/anchors
$ sudo update-ca-trust
$ sudo rm /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/cachain.pem /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/ovirt03.key /etc/pki/ovirt-engine/keys/apache.key.nopass
$ sudo cp /opt/certs/ovirt03.crt /etc/pki/ovirt-engine/certs/apache.cer
$ sudo systemctl restart httpd.service

Aggiungere/aggiornare i file di configurazione:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf
ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""
$ sudo vim /etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf
SSL_CERTIFICATE=/etc/pki/ovirt-engine/certs/apache.cer
SSL_KEY=/etc/pki/ovirt-engine/keys/apache.key.nopass
$ sudo vim /etc/ovirt-imageio-proxy/ovirt-imageio-proxy.conf
# Key file for SSL connections
ssl_key_file = /etc/pki/ovirt-engine/keys/apache.key.nopass
# Certificate file for SSL connections
ssl_cert_file = /etc/pki/ovirt-engine/certs/apache.cer

Successivamente riavviamo tutti i servizi interessati:

$ sudo systemctl restart ovirt-provider-ovn.service
$ sudo systemctl restart ovirt-imageio-proxy
$ sudo systemctl restart ovirt-websocket-proxy
$ sudo systemctl restart ovirt-engine.service

Fatto! È ora di connettersi al gestore e verificare che la connessione sia protetta da un certificato SSL firmato.

Archiviazione

Dove saremmo senza? In questa sezione parleremo dell'archiviazione del gestore; l'archiviazione della VM è un argomento separato. Creeremo backup una volta al giorno e li salveremo su NFS, ad esempio, sullo stesso sistema dove abbiamo posizionato le immagini ISO — mynfs01.example.com:/exports/ovirt-backup. Non è consigliato conservare i backup sulla stessa macchina dove opera l'Engine.

Installiamo e attiviamo autofs:

$ sudo yum install autofs
$ sudo systemctl enable autofs
$ sudo systemctl start autofs

Creiamo lo script:

$ sudo vim /etc/cron.daily/make.oVirt.backup.sh

con il seguente contenuto:

#!/bin/bash

datetime=`date +"%F.%R"`
backupdir="/net/mynfs01.example.com/exports/ovirt-backup"
filename="$backupdir/`hostname --short`.`date +"%F.%R"`"
engine-backup --mode=backup --scope=all --file=$filename.data --log=$filename.log
#uncomment next line for autodelete files older 30 days 
#find $backupdir -type f -mtime +30 -exec rm -f {} ;

Make the file executable:

$ sudo chmod a+x /etc/cron.daily/make.oVirt.backup.sh

Ora riceveremo un archivio delle impostazioni del gestore ogni notte.

Interfaccia di gestione degli host

Cockpit — un'interfaccia di amministrazione moderna per sistemi Linux. In questo caso svolge un ruolo simile a un'interfaccia web di ESXi.

oVirt in 2 ore. Parte 3. Configurazioni aggiuntive
Fig. 3 — aspetto del pannello.

Si installa molto facilmente, servono i pacchetti cockpit e il plugin cockpit-ovirt-dashboard:

$ sudo yum install cockpit cockpit-ovirt-dashboard -y

Attivazione di Cockpit:

$ sudo systemctl enable --now cockpit.socket

Configurazione del firewall:

sudo firewall-cmd --add-service=cockpit
sudo firewall-cmd --add-service=cockpit --permanent

Ora puoi collegarti all'host: https://[Host IP or FQDN]:9090

VLAN

Per saperne di più sulle reti, è consigliabile leggere in documentazione. Ci sono molte possibilità, qui descriveremo la connessione delle reti virtuali.

Per connettere altre subnet, è necessario prima descriverle nella configurazione: Network -> Networks -> New, qui il campo obbligatorio è solo il nome; la casella di controllo VM Network, che consente alle macchine di utilizzare questa rete, è selezionata, e per abilitare il tagging delle VLAN bisogna attivare Enable VLAN tagging, inserire il numero VLAN e fare clic su Ok.

Ora bisogna andare in Compute -> Hosts -> kvmNN -> Network Interfaces -> Setup Host Networks. Trascinare la rete aggiunta dalla parte destra Unassigned Logical Networks a sinistra in Assigned Logical Networks:

oVirt in 2 ore. Parte 3. Configurazioni aggiuntive
Fig. 4 — prima di aggiungere la rete.

oVirt in 2 ore. Parte 3. Configurazioni aggiuntive
Fig. 5 — dopo aver aggiunto la rete.

Per collegare più reti a un host in modo massivo, è utile assegnare un'etichetta(i) alle reti durante la creazione e aggiungere le reti per etichetta.

Dopo la creazione della rete, gli host passeranno allo stato Non Operativo finché tutte le reti non saranno aggiunte a tutti i nodi del cluster. Comportamento causato dall'impostazione Require All nella scheda Cluster durante la creazione di una nuova rete. Se la rete non è necessaria per tutti i nodi del cluster, questa impostazione può essere disabilitata, quindi la rete, durante l'aggiunta all'host, sarà a destra nella sezione Non Required e sarà possibile scegliere se collegarla a un host specifico.

oVirt in 2 ore. Parte 3. Configurazioni aggiuntive
Fig. 6 — selezione dell'impostazione di richiesta della rete.

Specifico per HPE

Quasi tutti i produttori hanno strumenti che aumentano la facilità d'uso dei loro prodotti. Nel caso di HPE, utili sono AMS (Agentless Management Service, amsd per iLO5, hp-ams per iLO4) e SSA (Smart Storage Administrator, gestione del controller di disco) e altri.

Collegamento del repository HPE
Importiamo la chiave e colleghiamo i repository HPE:

$ sudo rpm --import https://downloads.linux.hpe.com/SDR/hpePublicKey2048_key1.pub
$ sudo vim /etc/yum.repos.d/mcp.repo

con il seguente contenuto:

[mcp]
name=Management Component Pack
baseurl=http://downloads.linux.hpe.com/repo/mcp/centos/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

[spp]
name=Service Pack for ProLiant
baseurl=http://downloads.linux.hpe.com/SDR/repo/spp/RHEL/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

Visita del contenuto del repository e informazioni sul pacchetto (per riferimento):

$ sudo yum --disablerepo="*" --enablerepo="mcp" list available
$ yum info amsd

Installazione e avvio:

$ sudo yum install amsd ssacli
$ sudo systemctl start amsd

Esempio di utilizzo dell'utility per gestire il controller RAID
oVirt in 2 ore. Parte 3. Configurazioni aggiuntive

Per ora è tutto. Nei prossimi articoli intendo raccontare alcune operazioni e applicazioni di base. Ad esempio, come creare un VDI in oVirt.

Fonte: habr.com

Acquista hosting affidabile per siti web con protezione DDoS, VPS VDS server 🔥 Acquista hosting affidabile per siti web con protezione DDoS, VPS VDS server | ProHoster