oVirt 2 საათში. ნაწილი 3. დამატებითი პარამეტრები

ამ სტატიაში განვიხილავთ არასავალდებულო, მაგრამ სასარგებლო პარამეტრებს:

• მენეჯერისთვის დამატებითი სახელების გამოყენება;
• ავთენტიფიკაციის დაკავშირება Active Directory-ის საშუალებით;
• მრავალმხრივი;
• ენერგიის მართვა;
• SSL სერთიფიკატის შეცვლა;
• დაარქივება;
• ჰოსტის მართვის ინტერფეისი (კაბინა);
• VLAN;
• HPE სპეციფიკური.

ეს სტატია გაგრძელებაა, დასაწყისისთვის იხილეთ oVirt 2 საათში Часть 1 и ნაწილი 2.

სტატიები

1. შესავალი
2. მენეჯერის (ovirt-ძრავის) და ჰიპერვიზორების (ჰოსტების) ინსტალაცია
3. დამატებითი პარამეტრები - ჩვენ აქ ვართ

მენეჯერის დამატებითი პარამეტრები

მოხერხებულობისთვის, ჩვენ დავაყენებთ დამატებით პაკეტებს:

$ sudo yum install bash-completion vim

ბრძანების დასრულების ჩასართავად, bash-completion მოითხოვს bash-ზე გადასვლას.

დამატებითი DNS სახელების დამატება

ეს საჭირო იქნება, როცა მენეჯერთან დაკავშირება გჭირდებათ ალტერნატიული სახელის გამოყენებით (CNAME, მეტსახელი, ან უბრალოდ მოკლე სახელი დომენის სუფიქსის გარეშე). უსაფრთხოების მიზეზების გამო, მენეჯერი ნებას რთავს კავშირებს მხოლოდ სახელების დაშვებული სიის გამოყენებით.

შექმენით კონფიგურაციის ფაილი:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-sso-setup.conf

შემდეგი შინაარსი:

SSO_ALTERNATE_ENGINE_FQDNS="ovirt.example.com some.alias.example.com ovirt"

და გადატვირთეთ მენეჯერი:

$ sudo systemctl restart ovirt-engine

ავტორიზაციის დაყენება AD-ის საშუალებით

oVirt-ს აქვს ჩაშენებული მომხმარებლის ბაზა, მაგრამ ასევე მხარდაჭერილია გარე LDAP პროვაიდერები, მათ შორის. ახ.წ.

ტიპიური კონფიგურაციის უმარტივესი გზაა ოსტატის გაშვება და მენეჯერის გადატვირთვა:

$ sudo yum install ovirt-engine-extension-aaa-ldap-setup
$ sudo ovirt-engine-extension-aaa-ldap-setup
$ sudo systemctl restart ovirt-engine

ოსტატის მუშაობის მაგალითი
$ sudo ovirt-engine-extension-aaa-ldap-setup
ხელმისაწვდომი LDAP დანერგვები:
...
3 - აქტიური დირექტორია
...
გთხოვთ, აირჩიოთ: 3
გთხოვთ, შეიყვანოთ Active Directory Forest-ის სახელი: example.com

გთხოვთ, აირჩიოთ გამოსაყენებელი პროტოკოლი (startTLS, ldaps, მარტივი) [დაწყებაTLS]:
გთხოვთ, აირჩიოთ მეთოდი PEM კოდირებული CA სერთიფიკატის მისაღებად (ფაილი, URL, ინლაინ, სისტემა, დაუცველი): URL
URL: wwwca.example.com/myRootCA.pem
შეიყვანეთ მომხმარებლის საძიებო DN (მაგალითად, uid=username,dc=example,dc=com ან დატოვეთ ცარიელი ანონიმისთვის): CN=oVirt-Engine,CN=მომხმარებლები,DC=მაგალითი,DC=com
შეიყვანეთ საძიებო მომხმარებლის პაროლი: *პაროლი*
[ INFO ] დაკავშირების მცდელობა 'CN=oVirt-Engine,CN=Users,DC=example,DC=com' გამოყენებით
აპირებთ თუ არა ერთჯერადი შესვლის გამოყენებას ვირტუალური მანქანებისთვის (დიახ, არა) [დიახ]:
გთხოვთ, მიუთითოთ პროფილის სახელი, რომელიც ხილული იქნება მომხმარებლებისთვის [example.com]:
გთხოვთ, მოგვაწოდოთ რწმუნებათა სიგელები შესვლის ნაკადის შესამოწმებლად:
შეიყვანეთ მომხმარებლის სახელი: ზოგიერთი ნებისმიერი მომხმარებელი
შეიყვანეთ მომხმარებლის პაროლი:
...
[INFO] შესვლის თანმიმდევრობა წარმატებით შესრულდა
...
აირჩიეთ შესასრულებელი ტესტის თანმიმდევრობა (შესრულებულია, შეწყვეტა, შესვლა, ძიება) [Შესრულებულია]:
[INFO] ეტაპი: ტრანზაქციის დაყენება
...
კონფიგურაციის შეჯამება
...

ოსტატის გამოყენება შესაფერისია უმეტეს შემთხვევაში. რთული კონფიგურაციისთვის, პარამეტრები შესრულებულია ხელით. დამატებითი დეტალები oVirt დოკუმენტაციაში, მომხმარებლები და როლები. ძრავის AD-თან წარმატებით დაკავშირების შემდეგ, დამატებითი პროფილი გამოჩნდება კავშირის ფანჯარაში და ჩანართზე ნებართვები სისტემის ობიექტებს აქვთ AD მომხმარებლებისა და ჯგუფებისთვის ნებართვების მინიჭების შესაძლებლობა. აღსანიშნავია, რომ მომხმარებლებისა და ჯგუფების გარე დირექტორია შეიძლება იყოს არა მხოლოდ AD, არამედ IPA, eDirectory და ა.შ.

მრავალმხრივი

საწარმოო გარემოში შენახვის სისტემა უნდა იყოს დაკავშირებული ჰოსტთან მრავალი დამოუკიდებელი, მრავალჯერადი I/O ბილიკის მეშვეობით. როგორც წესი, CentOS-ში (და, შესაბამისად, oVirt-ში) არ არის პრობლემა მოწყობილობაზე მრავალი ბილიკის აწყობასთან დაკავშირებით (find_multipaths დიახ). FCoE-ს დამატებითი პარამეტრები ჩაწერილია მე-2 ნაწილი. ღირს ყურადღება მიაქციოთ შენახვის სისტემის მწარმოებლის რეკომენდაციას - ბევრი გვირჩევს გამოიყენოს მრგვალი პოლიტიკის გამოყენება, მაგრამ სტანდარტულად Enterprise Linux 7 სერვისის დრო გამოიყენება.

მაგალითად 3PAR-ის გამოყენება
და დოკუმენტი HPE 3PAR Red Hat Enterprise Linux, CentOS Linux, Oracle Linux და OracleVM სერვერის დანერგვის სახელმძღვანელო EL იქმნება როგორც ჰოსტი Generic-ALUA Persona 2-ით, რისთვისაც შემდეგი მნიშვნელობები შეყვანილია პარამეტრებში /etc/multipath.conf:

defaults {
           polling_interval      10
           user_friendly_names   no
           find_multipaths       yes
          }
devices {
          device {
                   vendor                   "3PARdata"
                   product                  "VV"
                   path_grouping_policy     group_by_prio
                   path_selector            "round-robin 0"
                   path_checker             tur
                   features                 "0"
                   hardware_handler         "1 alua"
                   prio                     alua
                   failback                 immediate
                   rr_weight                uniform
                   no_path_retry            18
                   rr_min_io_rq             1
                   detect_prio              yes
                   fast_io_fail_tmo         10
                   dev_loss_tmo             "infinity"
                 }
}

რის შემდეგაც გაიცემა გადატვირთვის ბრძანება:

systemctl restart multipathd

ბრინჯი. 1 არის ნაგულისხმევი მრავალჯერადი I/O პოლიტიკა.

ბრინჯი. 2 - მრავალჯერადი I/O პოლიტიკა პარამეტრების გამოყენების შემდეგ.

ენერგიის მართვის დაყენება

საშუალებას გაძლევთ შეასრულოთ, მაგალითად, აპარატის აპარატურის გადატვირთვა, თუ ძრავა დიდი ხნის განმავლობაში ვერ მიიღებს პასუხს მასპინძლისგან. განხორციელებული Fence Agent-ის მეშვეობით.

გამოთვლა -> მასპინძლები -> მასპინძელი — რედაქტირება -> ენერგიის მენეჯმენტი, შემდეგ ჩართეთ „ენერგიის მენეჯმენტის ჩართვა“ და დაამატეთ აგენტი — „დაამატეთ ღობე აგენტი“ -> +.

ჩვენ მივუთითებთ ტიპს (მაგალითად, iLO5-ისთვის უნდა მიუთითოთ ilo4), ipmi ინტერფეისის სახელი/მისამართი, ასევე მომხმარებლის სახელი/პაროლი. მიზანშეწონილია შექმნათ ცალკე მომხმარებელი (მაგალითად, oVirt-PM) და, iLO-ს შემთხვევაში, მიანიჭოთ მას პრივილეგიები:

• შესვლა
• დისტანციური კონსოლი
• ვირტუალური ენერგია და გადატვირთვა
• ვირტუალური მედია
• iLO პარამეტრების კონფიგურაცია
• მომხმარებლის ანგარიშების ადმინისტრირება

არ იკითხოთ, რატომ არის ასე, ის ემპირიულად იქნა არჩეული. კონსოლის ფარიკაობის აგენტი მოითხოვს ნაკლებ უფლებებს.

წვდომის კონტროლის სიების დაყენებისას უნდა გაითვალისწინოთ, რომ აგენტი მუშაობს არა ძრავზე, არამედ „მეზობელ“ ჰოსტზე (ე.წ. Power Management Proxy), ანუ თუ კლასტერში მხოლოდ ერთი კვანძია, ენერგიის მენეჯმენტი იმუშავებს არა.

SSL-ის დაყენება

სრული ოფიციალური ინსტრუქციები - in დოკუმენტაცია, დანართი D: oVirt და SSL — oVirt Engine SSL/TLS სერთიფიკატის ჩანაცვლება.

სერთიფიკატი შეიძლება იყოს ჩვენი კორპორატიული CA ან გარე კომერციული სერტიფიკატის ორგანოდან.

მნიშვნელოვანი შენიშვნა: სერთიფიკატი განკუთვნილია მენეჯერთან დასაკავშირებლად და არ იმოქმედებს ძრავსა და კვანძებს შორის კომუნიკაციაზე - ისინი გამოიყენებენ ძრავის მიერ გაცემულ თვით-ხელმოწერილ სერთიფიკატებს.

მოთხოვნები:

• გაცემის CA-ს სერთიფიკატი PEM ფორმატში, მთელი ჯაჭვით ძირ CA-მდე (დაქვემდებარებული გამცემი CA-დან დასაწყისიდან ძირის ბოლოს);
• სერთიფიკატი Apache-სთვის, გაცემული CA-ს მიერ (ასევე დამატებულია CA სერთიფიკატების მთელი ჯაჭვით);
• პირადი გასაღები Apache-სთვის, პაროლის გარეშე.

დავუშვათ, რომ ჩვენი გამცემი CA მუშაობს CentOS, სახელწოდებით subca.example.com და მოთხოვნები, გასაღებები და სერთიფიკატები განთავსებულია /etc/pki/tls/ დირექტორიაში.

ჩვენ ვაკეთებთ სარეზერვო ასლებს და ვქმნით დროებით დირექტორიას:

$ sudo cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.`date +%F`
$ sudo cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.`date +%F`
$ sudo mkdir /opt/certs
$ sudo chown mgmt.mgmt /opt/certs

ჩამოტვირთეთ სერთიფიკატები, შეასრულეთ იგი თქვენი სამუშაო სადგურიდან ან გადაიტანეთ სხვა მოსახერხებელი გზით:

[myuser@mydesktop] $ scp -3 [email protected]:/etc/pki/tls/cachain.pem [email protected]:/opt/certs
[myuser@mydesktop] $ scp -3 [email protected]:/etc/pki/tls/private/ovirt.key [email protected]:/opt/certs
[myuser@mydesktop] $ scp -3 [email protected]/etc/pki/tls/certs/ovirt.crt [email protected]:/opt/certs

შედეგად, თქვენ უნდა ნახოთ სამივე ფაილი:

$ ls /opt/certs
cachain.pem  ovirt.crt  ovirt.key

სერთიფიკატების დაყენება

დააკოპირეთ ფაილები და განაახლეთ ნდობის სიები:

$ sudo cp /opt/certs/cachain.pem /etc/pki/ca-trust/source/anchors
$ sudo update-ca-trust
$ sudo rm /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/cachain.pem /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/ovirt03.key /etc/pki/ovirt-engine/keys/apache.key.nopass
$ sudo cp /opt/certs/ovirt03.crt /etc/pki/ovirt-engine/certs/apache.cer
$ sudo systemctl restart httpd.service

კონფიგურაციის ფაილების დამატება/განახლება:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf

ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""

$ sudo vim /etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf

SSL_CERTIFICATE=/etc/pki/ovirt-engine/certs/apache.cer
SSL_KEY=/etc/pki/ovirt-engine/keys/apache.key.nopass

$ sudo vim /etc/ovirt-imageio-proxy/ovirt-imageio-proxy.conf

# Key file for SSL connections
ssl_key_file = /etc/pki/ovirt-engine/keys/apache.key.nopass
# Certificate file for SSL connections
ssl_cert_file = /etc/pki/ovirt-engine/certs/apache.cer

შემდეგი, გადატვირთეთ ყველა დაზარალებული სერვისი:

$ sudo systemctl restart ovirt-provider-ovn.service
$ sudo systemctl restart ovirt-imageio-proxy
$ sudo systemctl restart ovirt-websocket-proxy
$ sudo systemctl restart ovirt-engine.service

მზადაა! დროა დაუკავშირდეთ მენეჯერს და შეამოწმოთ, რომ კავშირი დაცულია ხელმოწერილი SSL სერთიფიკატით.

დაარქივება

სად ვიქნებოდით მის გარეშე? ამ განყოფილებაში ვისაუბრებთ მენეჯერის დაარქივებაზე, VM არქივირება ცალკე საკითხია. ჩვენ გავაკეთებთ საარქივო ასლებს დღეში ერთხელ და შევინახავთ მათ NFS-ის საშუალებით, მაგალითად, იმავე სისტემაში, სადაც განვათავსეთ ISO სურათები - mynfs1.example.com:/exports/ovirt-backup. არ არის რეკომენდებული არქივების შენახვა იმავე მანქანაზე, სადაც ძრავა მუშაობს.

დააინსტალირეთ და ჩართეთ ავტოფები:

$ sudo yum install autofs
$ sudo systemctl enable autofs
$ sudo systemctl start autofs

მოდით შევქმნათ სკრიპტი:

$ sudo vim /etc/cron.daily/make.oVirt.backup.sh

შემდეგი შინაარსი:

#!/bin/bash

datetime=`date +"%F.%R"`
backupdir="/net/mynfs01.example.com/exports/ovirt-backup"
filename="$backupdir/`hostname --short`.`date +"%F.%R"`"
engine-backup --mode=backup --scope=all --file=$filename.data --log=$filename.log
#uncomment next line for autodelete files older 30 days 
#find $backupdir -type f -mtime +30 -exec rm -f {} ;

ფაილის შესრულებადი გახადა:

$ sudo chmod a+x /etc/cron.daily/make.oVirt.backup.sh

ახლა ყოველ ღამე ჩვენ მივიღებთ მენეჯერის პარამეტრების არქივს.

ჰოსტის მართვის ინტერფეისი

სალონში — თანამედროვე ადმინისტრაციული ინტერფეისი Linux სისტემებისთვის. ამ შემთხვევაში, ის ასრულებს ESXi ვებ ინტერფეისის მსგავს როლს.

ბრინჯი. 3 - პანელის გარეგნობა.

ინსტალაცია ძალიან მარტივია, თქვენ გჭირდებათ კაბინის პაკეტები და Cockpit-ovirt-dashboard დანამატი:

$ sudo yum install cockpit cockpit-ovirt-dashboard -y

Cockpit-ის ჩართვა:

$ sudo systemctl enable --now cockpit.socket

Firewall-ის დაყენება:

sudo firewall-cmd --add-service=cockpit
sudo firewall-cmd --add-service=cockpit --permanent

ახლა თქვენ შეგიძლიათ დაუკავშირდეთ ჰოსტს: https://[Host IP or FQDN]:9090

VLAN

თქვენ უნდა წაიკითხოთ მეტი ქსელების შესახებ დოკუმენტაცია. ბევრი შესაძლებლობაა, აქ ჩვენ აღვწერთ ვირტუალური ქსელების დაკავშირებას.

სხვა ქვექსელების დასაკავშირებლად ისინი ჯერ უნდა იყოს აღწერილი კონფიგურაციაში: ქსელი -> ქსელები -> ახალი, აქ მხოლოდ სახელია აუცილებელი ველი; ჩამრთველი VM Network, რომელიც მანქანებს ამ ქსელის გამოყენების საშუალებას აძლევს, ჩართულია, მაგრამ დასაკავშირებლად თეგი უნდა იყოს ჩართული. ჩართეთ VLAN ტეგირება, შეიყვანეთ VLAN ნომერი და დააწკაპუნეთ OK.

ახლა თქვენ უნდა გადახვიდეთ განყოფილებაში Compute hosts -> Hosts -> kvmNN -> Network Interfaces -> Setup Host Networks. გადაიტანეთ დამატებული ქსელი გამოუყენებელი ლოგიკური ქსელების მარჯვენა მხრიდან მარცხნივ მინიჭებულ ლოგიკურ ქსელებში:

ბრინჯი. 4 - ქსელის დამატებამდე.

ბრინჯი. 5 - ქსელის დამატების შემდეგ.

მრავალი ქსელის მასპინძელთან მასობრივად დასაკავშირებლად, მოსახერხებელია მათთვის ლეიბლი(ებ)ის მინიჭება ქსელების შექმნისას და ქსელების დამატება ლეიბლების მიხედვით.

ქსელის შექმნის შემდეგ, ჰოსტები გადავლენ არაოპერატიულ მდგომარეობაში, სანამ ქსელი არ დაემატება კლასტერის ყველა კვანძს. ეს ქცევა გამოწვეულია კასეტური ჩანართზე Require All დროშით ახალი ქსელის შექმნისას. იმ შემთხვევაში, როდესაც ქსელი არ არის საჭირო კლასტერის ყველა კვანძზე, ეს დროშა შეიძლება გამორთოთ, მაშინ როდესაც ქსელი დაემატება ჰოსტს, ის იქნება მარჯვნივ განყოფილებაში Non Required და შეგიძლიათ აირჩიოთ თუ არა დაკავშირება. ის კონკრეტულ მასპინძელს.

ბრინჯი. 6 — აირჩიეთ ქსელის მოთხოვნის ატრიბუტი.

HPE სპეციფიკური

თითქმის ყველა მწარმოებელს აქვს ინსტრუმენტები, რომლებიც აუმჯობესებს მათი პროდუქციის გამოყენებადობას. მაგალითად, HPE-ს გამოყენება, სასარგებლოა AMS (Agentless Management Service, amsd iLO5-სთვის, hp-ams iLO4-ისთვის) და SSA (Smart Storage Administrator, მუშაობა დისკის კონტროლერთან) და ა.შ.

HPE საცავის დაკავშირება
ჩვენ იმპორტირებთ გასაღებს და ვუკავშირდებით HPE საცავებს:

$ sudo rpm --import https://downloads.linux.hpe.com/SDR/hpePublicKey2048_key1.pub
$ sudo vim /etc/yum.repos.d/mcp.repo

შემდეგი შინაარსი:

[mcp]
name=Management Component Pack
baseurl=http://downloads.linux.hpe.com/repo/mcp/centos/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

[spp]
name=Service Pack for ProLiant
baseurl=http://downloads.linux.hpe.com/SDR/repo/spp/RHEL/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

იხილეთ საცავის შინაარსი და პაკეტის ინფორმაცია (ცნობისთვის):

$ sudo yum --disablerepo="*" --enablerepo="mcp" list available
$ yum info amsd

ინსტალაცია და გაშვება:

$ sudo yum install amsd ssacli
$ sudo systemctl start amsd

კომუნალური პროგრამის მაგალითი დისკის კონტროლერთან მუშაობისთვის

ჯერჯერობით სულ ესაა. შემდეგ სტატიებში ვაპირებ ვისაუბრო რამდენიმე ძირითად ოპერაციებსა და აპლიკაციებზე. მაგალითად, როგორ გავაკეთოთ VDI oVirt-ში.

წყარო: www.habr.com