ProHoster > Blogs > Administrācija > oVirt 2 stundu laikā. 3. daļa. Papildu iestatījumi

oVirt 2 stundu laikā. 3. daļa. Papildu iestatījumi

Šajā rakstā mēs apskatīsim vairākus izvēles, bet noderīgus iestatījumus:

Å is raksts ir turpinājums, sākumu skatiet oVirt pēc 2 stundām 1. daļa Šø 2. daļa.

Blogs

  1. Ievads
  2. Pārvaldnieka (ovirt-motora) un hipervizoru (saimnieku) uzstādīŔana
  3. Papildu iestatÄ«jumi ā€“ esam klāt

Papildu pārvaldnieka iestatījumi

Ērtības labad mēs uzstādīsim papildu pakotnes:

$ sudo yum install bash-completion vim

Lai iespējotu komandu pabeigÅ”anu, bash pabeigÅ”anai ir jāpārslēdzas uz bash.

Papildu DNS nosaukumu pievienoŔana

Tas bÅ«s nepiecieÅ”ams, ja vajadzēs izveidot savienojumu ar pārvaldnieku, izmantojot alternatÄ«vu nosaukumu (CNAME, aizstājvārdu vai tikai Ä«su nosaukumu bez domēna sufiksa). DroŔības apsvērumu dēļ pārvaldnieks pieļauj savienojumus, tikai izmantojot atļauto vārdu sarakstu.

Izveidojiet konfigurācijas failu:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-sso-setup.conf

Ŕādu saturu:

SSO_ALTERNATE_ENGINE_FQDNS="ovirt.example.com some.alias.example.com ovirt"

un restartējiet pārvaldnieku:

$ sudo systemctl restart ovirt-engine

Autentifikācijas iestatīŔana, izmantojot AD

oVirt ir iebÅ«vēta lietotāju bāze, taču tiek atbalstÄ«ti arÄ« ārējie LDAP nodroÅ”inātāji, t.sk. A.D.

VienkārŔākais tipiskas konfigurācijas veids ir palaist vedni un restartēt pārvaldnieku:

$ sudo yum install ovirt-engine-extension-aaa-ldap-setup
$ sudo ovirt-engine-extension-aaa-ldap-setup
$ sudo systemctl restart ovirt-engine

Meistara darba piemērs
$ sudo ovirt-engine-extension-aaa-ldap-setup
Pieejamās LDAP implementācijas:
...
3 ā€” Active Directory
...
Lūdzu izvēlieties: 3
Lūdzu, ievadiet Active Directory meža nosaukumu: example.com

Lūdzu, atlasiet izmantojamo protokolu (startTLS, ldaps, vienkārŔs) [sāktTLS]:
LÅ«dzu, atlasiet metodi, lai iegÅ«tu PEM kodētu CA sertifikātu (fails, URL, iekļauts, sistēma, nedroÅ”s): URL
URL: wwwca.example.com/myRootCA.pem
Ievadiet meklÄ“Å”anas lietotāja atÅ”ifrējumu (piemēram, uid=lietotājvārds,dc=example,dc=com vai atstājiet tukÅ”u anonÄ«miem): CN=oVirt-Engine,CN=Lietotāji,DC=piemērs,DC=com
Ievadiet meklÄ“Å”anas lietotāja paroli: *parole*
[ INFO ] Mēģinājums izveidot saiti, izmantojot 'CN=oVirt-Engine,CN=Users,DC=example,DC=com'
Vai jÅ«s gatavojaties izmantot vienoto pierakstÄ«Å”anos virtuālajām maŔīnām (jā, nē) [Jā]:
Lūdzu, norādiet profila nosaukumu, kas būs redzams lietotājiem [example.com]:
Lūdzu, norādiet akreditācijas datus, lai pārbaudītu pieteikŔanās plūsmu:
Ievadiet lietotājvārdu: kādsAnyUser
Ievadiet lietotāja paroli:
...
[INFO] PieteikŔanās secība ir veiksmīgi izpildīta
...
Izvēlieties izpildāmo testa secību (Gatavs, Pārtraukt, Pieteikties, Meklēt) [Gatavs]:
[INFO] Posms: Darījuma iestatīŔana
...
KONFIGURĀCIJAS KOPSAVILKUMS
...

Vedņa izmantoÅ”ana ir piemērota vairumam gadÄ«jumu. Sarežģītām konfigurācijām iestatÄ«jumi tiek veikti manuāli. SÄ«kāka informācija oVirt dokumentācijā, Lietotāji un lomas. Pēc veiksmÄ«gas dzinēja savienoÅ”anas ar AD savienojuma logā un cilnē parādÄ«sies papildu profils Atļaujas Sistēmas objektiem ir iespēja pieŔķirt atļaujas AD lietotājiem un grupām. Jāpiebilst, ka lietotāju un grupu ārējais direktorijs var bÅ«t ne tikai AD, bet arÄ« IPA, eDirectory u.c.

Daudzceļu

RažoÅ”anas vidē uzglabāŔanas sistēmai jābÅ«t savienotai ar resursdatoru, izmantojot vairākus neatkarÄ«gus, vairākus I/O ceļus. Kā likums, sistēmā CentOS (un lÄ«dz ar to arÄ« oVirt) nav problēmu ar vairāku ceļu montāžu uz ierÄ«ci (find_multipaths jā). Papildu FCoE iestatÄ«jumi ir ierakstÄ«ti 2. daļa. Ir vērts pievērst uzmanÄ«bu krātuves sistēmas ražotāja ieteikumam - daudzi iesaka izmantot apļveida politiku, bet pēc noklusējuma Enterprise Linux 7 tiek izmantots servisa laiks.

Kā piemēru izmantojot 3PAR
un dokuments HPE 3PAR Red Hat Enterprise Linux, CentOS Linux, Oracle Linux un OracleVM servera ievieÅ”anas rokasgrāmata EL ir izveidots kā resursdators ar Generic-ALUA Persona 2, kuram iestatÄ«jumos /etc/multipath.conf tiek ievadÄ«tas Ŕādas vērtÄ«bas:

defaults {
           polling_interval      10
           user_friendly_names   no
           find_multipaths       yes
          }
devices {
          device {
                   vendor                   "3PARdata"
                   product                  "VV"
                   path_grouping_policy     group_by_prio
                   path_selector            "round-robin 0"
                   path_checker             tur
                   features                 "0"
                   hardware_handler         "1 alua"
                   prio                     alua
                   failback                 immediate
                   rr_weight                uniform
                   no_path_retry            18
                   rr_min_io_rq             1
                   detect_prio              yes
                   fast_io_fail_tmo         10
                   dev_loss_tmo             "infinity"
                 }
}

Pēc tam tiek dota komanda restartēt:

systemctl restart multipathd

oVirt 2 stundu laikā. 3. daļa. Papildu iestatījumi
Rīsi. 1 ir noklusējuma vairāku I/O politika.

oVirt 2 stundu laikā. 3. daļa. Papildu iestatījumi
RÄ«si. 2 ā€” vairāku I/O politika pēc iestatÄ«jumu piemēroÅ”anas.

Enerģijas pārvaldības iestatīŔana

Ä»auj veikt, piemēram, iekārtas aparatÅ«ras atiestatÄ«Å”anu, ja Dzinējs ilgstoÅ”i nevar saņemt atbildi no saimniekdatora. ÄŖstenots ar žogu aÄ£enta starpniecÄ«bu.

Aprēķināt -> Saimnieki -> HOST ā€” Rediģēt -> EnerÄ£ijas pārvaldÄ«ba, pēc tam iespējojiet "Iespējot enerÄ£ijas pārvaldÄ«bu" un pievienojiet aÄ£entu - "Pievienot žoga aÄ£entu" -> +.

Mēs norādām veidu (piemēram, iLO5 jānorāda ilo4), ipmi interfeisa nosaukumu/adresi, kā arÄ« lietotājvārdu/paroli. Ieteicams izveidot atseviŔķu lietotāju (piemēram, oVirt-PM) un iLO gadÄ«jumā pieŔķirt viņam privilēģijas:

  • Pieslēgties
  • Attālā konsole
  • Virtuālā baroÅ”ana un atiestatÄ«Å”ana
  • Virtuālie mediji
  • Konfigurējiet iLO iestatÄ«jumus
  • Administrēt lietotāju kontus

Nejautājiet, kāpēc tas tā ir, tas tika izvēlēts empÄ«riski. Konsoles žogu aÄ£entam ir nepiecieÅ”ams mazāk tiesÄ«bu.

Iestatot piekļuves kontroles sarakstus, jāpatur prātā, ka aÄ£ents darbojas nevis dzinējā, bet ā€œkaimiņos esoŔāā€ resursdatorā (tā sauktajā enerÄ£ijas pārvaldÄ«bas starpniekserverÄ«), t.i., ja klasterÄ« ir tikai viens mezgls, jaudas pārvaldÄ«ba darbosies nebÅ«s.

SSL iestatīŔana

Pilnas oficiālās instrukcijas - iekŔā dokumentācija, D pielikums: oVirt un SSL ā€” oVirt Engine SSL/TLS sertifikāta aizstāŔana.

Sertifikāts var būt vai nu no mūsu korporatīvās CA, vai no ārējas komerciālas sertifikācijas iestādes.

SvarÄ«ga piezÄ«me: Sertifikāts ir paredzēts savienojumam ar pārvaldnieku un neietekmēs saziņu starp Dzinēju un mezgliem ā€“ tie izmantos Dzinēja izdotos paÅ”parakstÄ«tos sertifikātus.

Prasības:

  • izdevējas SI sertifikāts PEM formātā ar visu ķēdi lÄ«dz saknes CA (no pakārtotā izdevēja CA sākumā lÄ«dz saknei beigās);
  • sertifikāts Apache, ko izsniedz izdevēja CA (arÄ« papildināta ar visu CA sertifikātu ķēdi);
  • privātā atslēga Apache, bez paroles.

Pieņemsim, ka mūsu izdevējā CA darbojas CentOS, ko sauc par subca.example.com, un pieprasījumi, atslēgas un sertifikāti atrodas direktorijā /etc/pki/tls/.

Mēs veicam dublējumus un izveidojam pagaidu direktoriju:

$ sudo cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.`date +%F`
$ sudo cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.`date +%F`
$ sudo mkdir /opt/certs
$ sudo chown mgmt.mgmt /opt/certs

Lejupielādējiet sertifikātus, veiciet to no savas darbstacijas vai pārsūtiet citā ērtā veidā:

[myuser@mydesktop] $ scp -3 [email protected]:/etc/pki/tls/cachain.pem [email protected]:/opt/certs
[myuser@mydesktop] $ scp -3 [email protected]:/etc/pki/tls/private/ovirt.key [email protected]:/opt/certs
[myuser@mydesktop] $ scp -3 [email protected]/etc/pki/tls/certs/ovirt.crt [email protected]:/opt/certs

Rezultātā jums vajadzētu redzēt visus 3 failus:

$ ls /opt/certs
cachain.pem  ovirt.crt  ovirt.key

Sertifikātu instalÄ“Å”ana

Kopējiet failus un atjauniniet uzticamības sarakstus:

$ sudo cp /opt/certs/cachain.pem /etc/pki/ca-trust/source/anchors
$ sudo update-ca-trust
$ sudo rm /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/cachain.pem /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/ovirt03.key /etc/pki/ovirt-engine/keys/apache.key.nopass
$ sudo cp /opt/certs/ovirt03.crt /etc/pki/ovirt-engine/certs/apache.cer
$ sudo systemctl restart httpd.service

Pievienot/atjaunināt konfigurācijas failus:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf
ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""
$ sudo vim /etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf
SSL_CERTIFICATE=/etc/pki/ovirt-engine/certs/apache.cer
SSL_KEY=/etc/pki/ovirt-engine/keys/apache.key.nopass
$ sudo vim /etc/ovirt-imageio-proxy/ovirt-imageio-proxy.conf
# Key file for SSL connections
ssl_key_file = /etc/pki/ovirt-engine/keys/apache.key.nopass
# Certificate file for SSL connections
ssl_cert_file = /etc/pki/ovirt-engine/certs/apache.cer

Pēc tam restartējiet visus ietekmētos pakalpojumus:

$ sudo systemctl restart ovirt-provider-ovn.service
$ sudo systemctl restart ovirt-imageio-proxy
$ sudo systemctl restart ovirt-websocket-proxy
$ sudo systemctl restart ovirt-engine.service

Gatavs! Ir pienācis laiks izveidot savienojumu ar pārvaldnieku un pārbaudīt, vai savienojums ir aizsargāts ar parakstītu SSL sertifikātu.

ArhivēŔana

Kur mēs bÅ«tu bez viņas? Å ajā sadaļā mēs runāsim par pārvaldnieku arhivÄ“Å”anu; VM arhivÄ“Å”ana ir atseviŔķs jautājums. Reizi dienā veidosim arhÄ«va kopijas un uzglabāsim tās, piemēram, izmantojot NFS, tajā paŔā sistēmā, kur ievietojām ISO attēlus - mynfs1.example.com:/exports/ovirt-backup. Nav ieteicams glabāt arhÄ«vus tajā paŔā iekārtā, kurā darbojas dzinējs.

Instalējiet un iespējojiet autofs:

$ sudo yum install autofs
$ sudo systemctl enable autofs
$ sudo systemctl start autofs

Izveidosim skriptu:

$ sudo vim /etc/cron.daily/make.oVirt.backup.sh

Ŕādu saturu:

#!/bin/bash

datetime=`date +"%F.%R"`
backupdir="/net/mynfs01.example.com/exports/ovirt-backup"
filename="$backupdir/`hostname --short`.`date +"%F.%R"`"
engine-backup --mode=backup --scope=all --file=$filename.data --log=$filename.log
#uncomment next line for autodelete files older 30 days 
#find $backupdir -type f -mtime +30 -exec rm -f {} ;

Faila padarīŔana par izpildāmu:

$ sudo chmod a+x /etc/cron.daily/make.oVirt.backup.sh

Tagad katru vakaru mēs saņemsim pārvaldnieka iestatījumu arhīvu.

Resursdatora pārvaldības saskarne

KabÄ«ne ā€” moderna administratÄ«vā saskarne Linux sistēmām. Å ajā gadÄ«jumā tas veic ESXi tÄ«mekļa saskarnei lÄ«dzÄ«gu lomu.

oVirt 2 stundu laikā. 3. daļa. Papildu iestatījumi
RÄ«si. 3 ā€” paneļa izskats.

InstalÄ“Å”ana ir ļoti vienkārÅ”a, jums ir nepiecieÅ”amas kabÄ«nes pakotnes un spraudnis cockpit-ovirt-dashboard:

$ sudo yum install cockpit cockpit-ovirt-dashboard -y

KabÄ«nes iespējoÅ”ana:

$ sudo systemctl enable --now cockpit.socket

Ugunsmūra iestatīŔana:

sudo firewall-cmd --add-service=cockpit
sudo firewall-cmd --add-service=cockpit --permanent

Tagad varat izveidot savienojumu ar resursdatoru: https://[Host IP or FQDN]:9090

VLAN

Jums vajadzētu lasÄ«t vairāk par tÄ«kliem dokumentācija. Ir daudz iespēju; Å”eit mēs aprakstÄ«sim virtuālo tÄ«klu savienoÅ”anu.

Lai savienotu citus apakÅ”tÄ«klus, tie vispirms jāapraksta konfigurācijā: Network -> Networks -> New, Å”eit tikai nosaukums ir obligāts lauks; Izvēles rÅ«tiņa VM tÄ«kls, kas ļauj iekārtām izmantot Å”o tÄ«klu, ir iespējota, taču, lai pievienotu atzÄ«mi, ir jābÅ«t iespējotai. Iespējot VLAN marÄ·Ä“Å”anu, ievadiet VLAN numuru un noklikŔķiniet uz Labi.

Tagad jums jādodas uz Aprēķināt saimniekdatorus -> Saimnieki -> kvmNN -> TÄ«kla saskarnes -> IestatÄ«t saimniekdatorus. Velciet pievienoto tÄ«klu no NepieŔķirto loÄ£isko tÄ«klu labās puses uz kreiso uz PieŔķirtie loÄ£iskie tÄ«kli:

oVirt 2 stundu laikā. 3. daļa. Papildu iestatījumi
RÄ«si. 4 ā€” pirms tÄ«kla pievienoÅ”anas.

oVirt 2 stundu laikā. 3. daļa. Papildu iestatījumi
RÄ«si. 5 - pēc tÄ«kla pievienoÅ”anas.

Lai resursdatoram masveidā pievienotu vairākus tÄ«klus, ir ērti tiem pieŔķirt iezÄ«mi(-es), veidojot tÄ«klus, un pievienot tÄ«klus pēc etiÄ·etēm.

Pēc tÄ«kla izveides resursdatori pāries stāvoklÄ« Nedarbojas, lÄ«dz tÄ«kls tiks pievienots visiem klastera mezgliem. Å o darbÄ«bu izraisa karodziņa Require All (PieprasÄ«t visu) cilnē Cluster, veidojot jaunu tÄ«klu. GadÄ«jumā, ja tÄ«kls nav nepiecieÅ”ams visos klastera mezglos, Å”o karogu var atspējot, tad, kad tÄ«kls tiks pievienots resursdatoram, tas bÅ«s labajā pusē sadaļā Non Required un jÅ«s varat izvēlēties, vai izveidot savienojumu. to konkrētam saimniekdatoram.

oVirt 2 stundu laikā. 3. daļa. Papildu iestatījumi
RÄ«si. 6 ā€” atlasiet tÄ«kla prasÄ«bu atribÅ«tu.

HPE specifisks

GandrÄ«z visiem ražotājiem ir instrumenti, kas uzlabo viņu produktu lietojamÄ«bu. Izmantojot HPE kā piemēru, noder AMS (Agentless Management Service, amsd priekÅ” iLO5, hp-ams priekÅ” iLO4) un SSA (Smart Storage Administrator, darbs ar diska kontrolleri) u.c.

HPE repozitorija pievienoŔana
Mēs importējam atslēgu un savienojam HPE repozitorijus:

$ sudo rpm --import https://downloads.linux.hpe.com/SDR/hpePublicKey2048_key1.pub
$ sudo vim /etc/yum.repos.d/mcp.repo

Ŕādu saturu:

[mcp]
name=Management Component Pack
baseurl=http://downloads.linux.hpe.com/repo/mcp/centos/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

[spp]
name=Service Pack for ProLiant
baseurl=http://downloads.linux.hpe.com/SDR/repo/spp/RHEL/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

Skatīt repozitorija saturu un pakotnes informāciju (uzziņai):

$ sudo yum --disablerepo="*" --enablerepo="mcp" list available
$ yum info amsd

UzstādīŔana un palaiŔana:

$ sudo yum install amsd ssacli
$ sudo systemctl start amsd

Lietderības piemērs darbam ar diska kontrolleri
oVirt 2 stundu laikā. 3. daļa. Papildu iestatījumi

Tas pagaidām ir viss. Nākamajos rakstos es plānoju runāt par dažām pamata darbībām un lietojumprogrammām. Piemēram, kā izveidot VDI programmā oVirt.

Avots: www.habr.com