ProHoster > Blog > Administracja > oVirt w 2 godziny. Część 3. Dodatkowe ustawienia

oVirt w 2 godziny. Część 3. Dodatkowe ustawienia

W tym artykule omówimy szereg opcjonalnych, ale przydatnych ustawień:

Artykuł ten jest kontynuacją, początek znajdziesz w oVirt za 2 godziny Part 1 i Part 2.

Artykuły

  1. Wprowadzenie
  2. Instalacja menedżera (ovirt-engine) i hipernadzorców (hosts)
  3. Dodatkowe ustawienia — jesteśmy tutaj

Dodatkowe ustawienia menedżera

Dla wygody pracy zainstalujemy dodatkowe pakiety:

$ sudo yum install bash-completion vim

Aby aktywować autouzupełnianie poleceń bash-completion, należy przejść do bash.

Dodanie dodatkowych nazw DNS

Będzie to potrzebne, gdy do menedżera trzeba się podłączyć przez alternatywną nazwę (CNAME, alias lub po prostu krótką nazwę bez sufiksu domenowego). Z powodów bezpieczeństwa menedżer zezwala na podłączenie tylko za pomocą dozwolonej listy nazw.

Tworzymy plik konfiguracyjny:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-sso-setup.conf

zawartości:

SSO_ALTERNATE_ENGINE_FQDNS="ovirt.example.com some.alias.example.com ovirt"

i restartujemy menedżera:

$ sudo systemctl restart ovirt-engine

Ustawienie uwierzytelniania przez AD

oVirt ma wbudowaną bazę użytkowników, ale wspiera również zewnętrzne dostawców LDAP, w tym AD.

Najprostszy sposób na typową konfigurację — uruchomienie kreatora i restart menedżera:

$ sudo yum install ovirt-engine-extension-aaa-ldap-setup
$ sudo ovirt-engine-extension-aaa-ldap-setup
$ sudo systemctl restart ovirt-engine

Przykład działania kreatora
$ sudo ovirt-engine-extension-aaa-ldap-setup
Dostępne implementacje LDAP:
…
3 — Active Directory
…
Proszę wybrać: 3
Proszę wprowadzić nazwę lasu Active Directory: example.com

Proszę wybrać protokół do użycia (startTLS, ldaps, plain) [startTLS]:
Proszę wybrać metodę pozyskiwania certyfikatu CA zakodowanego w formacie PEM (Plik, URL, Wstawiony, Systemowy, Niezabezpieczony): URL
URL: wwwca.example.com/myRootCA.pem
Podaj DN użytkownika wyszukiwania (na przykład uid=username,dc=example,dc=com lub pozostaw puste dla anonimowego): CN=oVirt-Engine,CN=Users,DC=example,DC=com
Podaj hasło użytkownika wyszukiwania: *hasło*
[ INFO ] Próbuję połączyć się używając ‘CN=oVirt-Engine,CN=Users,DC=example,DC=com’
Czy zamierzasz korzystać z jednolitych poświadczeń do maszyn wirtualnych (Tak, Nie) [Tak]:
Proszę podać nazwę profilu, która będzie widoczna dla użytkowników [example.com]:
Proszę podać dane uwierzytelniające, aby przetestować przepływ logowania:
Wpisz nazwę użytkownika: someAnyUser
Wpisz hasło użytkownika:
…
[ INFO ] Sekwencja logowania wykonana pomyślnie
…
Wybierz sekwencję testową do wykonania (Zakończone, Przerwij, Logowanie, Wyszukiwanie) [Zakończone]:
[ INFO ] Etap: Ustawienie transakcji
…
PODSUMOWANIE KONFIGURACJI
…

Użycie kreatora jest odpowiednie w większości przypadków. W przypadku skomplikowanych konfiguracji ustawienia są wykonywane ręcznie. Więcej informacji w dokumentacji oVirt, Użytkownicy i Role. Po pomyślnym podłączeniu silnika do AD, w oknie połączeń pojawi się dodatkowy profil, a na karcie Uprawnienia System objects have the ability to grant permissions to users and AD groups. It is worth noting that the external directory of users and groups can include not only AD, but also IPA, eDirectory, and others.

Multipathing

In a production environment, the storage system must be connected to the host via multiple independent paths for multipath I/O. Typically, in CentOS (and consequently in oVirt), there are no problems with assembling multiple paths to a device (find_multipaths yes). Additional settings for FCoE are discussed in Part 2. Note the manufacturer's recommendation for the storage system—many suggest using the round-robin policy, while by default, Enterprise Linux 7 uses service-time.

Taking 3PAR as an example
and the document HPE 3PAR Red Hat Enterprise Linux, CentOS Linux, Oracle Linux, and OracleVM Server Implementation Guide EL is created as a Host with Generic-ALUA Persona 2, for which the following values are entered in the settings /etc/multipath.conf:

defaults {
           polling_interval      10
           user_friendly_names   no
           find_multipaths       yes
          }
devices {
          device {
                   vendor                   "3PARdata"
                   product                  "VV"
                   path_grouping_policy     group_by_prio
                   path_selector            "round-robin 0"
                   path_checker             tur
                   features                 "0"
                   hardware_handler         "1 alua"
                   prio                     alua
                   failback                 immediate
                   rr_weight                uniform
                   no_path_retry            18
                   rr_min_io_rq             1
                   detect_prio              yes
                   fast_io_fail_tmo         10
                   dev_loss_tmo             "infinity"
                 }
}

After this, the command to restart is given:

systemctl restart multipathd

oVirt w 2 godziny. Część 3. Dodatkowe ustawienia
Fig. 1 — Default multipath I/O policy.

oVirt w 2 godziny. Część 3. Dodatkowe ustawienia
Fig. 2 — Multipath I/O policy after applying settings.

Power Management Configuration

Allows for, for example, a hardware reset of the machine if the Engine cannot receive a response from the Host for an extended period. Implemented through a Fence Agent.

Compute -> Hosts -> HOST — Edit -> Power Management, then enable "Enable Power Management" and add an agent — "Add Fence Agent" -> +.

Specify the type (e.g., for iLO5 you need to specify ilo4), the name/IP address of the IPMI interface, as well as the username/password. It is recommended to create a separate user (e.g., oVirt-PM) and, in the case of iLO, grant them the privileges:

  • Zaloguj się
  • Remote Console
  • Virtual Power and Reset
  • Virtual Media
  • Configure iLO Settings
  • Administer User Accounts

Nie pytaj, dlaczego akurat tak, to zostało dobrane na podstawie doświadczenia. Agenta fencing w trybie konsolowym wymagają mniejszego zestawu uprawnień.

Przy konfigurowaniu list kontroli dostępu należy pamiętać, że agent uruchamia się nie na silniku, ale na "sąsiednim" hoście (tzw. Power Management Proxy), tzn. jeśli w klastrze będzie tylko jeden węzeł, zarządzanie energią nie zadziała. nie będzie.

Konfiguracja SSL

Pełna oficjalna instrukcja znajduje się w dokumentacji, Dodatku D: oVirt i SSL — Zastępowanie certyfikatu SSL/TLS silnika oVirt.

Certyfikat może pochodzić zarówno z naszego korporacyjnego CAs, jak i z zewnętrznego komercyjnego centrum certyfikacji.

Ważna uwaga: certyfikat przeznaczony jest do połączenia z menedżerem, nie wpłynie na interakcję między silnikiem a węzłami — będą one korzystać z certyfikatów samopodpisanych wydanych przez silnik.

Wymagania:

  • certyfikat wydawcy CAs w formacie PEM, z całą łańcuchem do koronnego CAs (od podrzędnego wydawcy na początku do koronnego na końcu);
  • certyfikat dla Apache, wydany przez wydawcę CAs (również uzupełniony całym łańcuchem certyfikatów CAs);
  • klucz prywatny dla Apache, bez hasła.

Załóżmy, że nasz centrum certyfikacji działa na CentOS, nazywa się subca.example.com, a wnioski, klucze i certyfikaty znajdują się w katalogu /etc/pki/tls/

Tworzymy kopie zapasowe i tworzymy tymczasowy katalog:

$ sudo cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.`date +%F`
$ sudo cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.`date +%F`
$ sudo mkdir /opt/certs
$ sudo chown mgmt.mgmt /opt/certs

Przesyłanie certyfikatów, wykonaj to ze swojej stacji roboczej lub przekaż innym wygodnym sposobem:

[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/cachain.pem mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/private/ovirt.key mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com/etc/pki/tls/certs/ovirt.crt mgmt@ovirt.example.com:/opt/certs

W rezultacie powinieneś zobaczyć wszystkie 3 pliki:

$ ls /opt/certs
cachain.pem  ovirt.crt  ovirt.key

Instalacja certyfikatów

Kopiujemy pliki i aktualizujemy zestawy zaufania:

$ sudo cp /opt/certs/cachain.pem /etc/pki/ca-trust/source/anchors
$ sudo update-ca-trust
$ sudo rm /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/cachain.pem /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/ovirt03.key /etc/pki/ovirt-engine/keys/apache.key.nopass
$ sudo cp /opt/certs/ovirt03.crt /etc/pki/ovirt-engine/certs/apache.cer
$ sudo systemctl restart httpd.service

Dodaj/aktualizuj pliki konfiguracyjne:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf
ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""
$ sudo vim /etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf
SSL_CERTIFICATE=\/etc\/pki\/ovirt-engine\/certs\/apache.cer
SSL_KEY=\/etc\/pki\/ovirt-engine\/keys\/apache.key.nopass
$ sudo vim \/etc\/ovirt-imageio-proxy\/ovirt-imageio-proxy.conf
# Key file for SSL connections
ssl_key_file = /etc/pki/ovirt-engine/keys/apache.key.nopass
# Certificate file for SSL connections
ssl_cert_file = /etc/pki/ovirt-engine/certs/apache.cer

Następnie restartujemy wszystkie dotknięte usługi:

$ sudo systemctl restart ovirt-provider-ovn.service
$ sudo systemctl restart ovirt-imageio-proxy
$ sudo systemctl restart ovirt-websocket-proxy
$ sudo systemctl restart ovirt-engine.service

Gotowe! Czas połączyć się z menedżerem i sprawdzić, czy połączenie jest zabezpieczone podpisanym certyfikatem SSL.

Archiwizacja

Bez tego ani rusz! W tej sekcji omówimy archiwizację menedżera, archiwizacja maszyn wirtualnych to osobny temat. Kopie zapasowe będziemy tworzyć raz dziennie i przechowywać je na NFS, np. na tym samym systemie, na którym umieściliśmy obrazy ISO — mynfs01.example.com:\/exports\/ovirt-backup. Nie zaleca się przechowywania archiwów na tej samej maszynie, na której działa Engine.

Instalujemy i włączamy autofs:

$ sudo yum install autofs
$ sudo systemctl enable autofs
$ sudo systemctl start autofs

Tworzymy skrypt:

$ sudo vim \/etc\/cron.daily\/make.oVirt.backup.sh

zawartości:

#!/bin/bash

datetime=`date +"%F.%R"`
backupdir="/net/mynfs01.example.com/exports/ovirt-backup"
filename="$backupdir/`hostname --short`.`date +"%F.%R"`"
engine-backup --mode=backup --scope=all --file=$filename.data --log=$filename.log
#uncomment next line for autodelete files older 30 days 
#find $backupdir -type f -mtime +30 -exec rm -f {} ;

Nadajemy plikowi uprawnienia wykonawcze:

$ sudo chmod a+x \/etc\/cron.daily\/make.oVirt.backup.sh

Teraz każdej nocy będziemy otrzymywać archiwa ustawień menedżera.

Interfejs zarządzania hostami

Cockpit — nowoczesny interfejs administracyjny dla systemów Linux. W tym przypadku pełni rolę podobną do interfejsu webowego ESXi.

oVirt w 2 godziny. Część 3. Dodatkowe ustawienia
Rys. 3 — wygląd panelu.

Instaluje się bardzo prosto, potrzebne są pakiety cockpit i wtyczka cockpit-ovirt-dashboard:

$ sudo yum install cockpit cockpit-ovirt-dashboard -y

Włączenie Cockpit:

$ sudo systemctl enable --now cockpit.socket

Konfiguracja zapory:

sudo firewall-cmd --add-service=cockpit
sudo firewall-cmd --add-service=cockpit --permanent

Teraz można połączyć się z hostem: https:\/[Host IP or FQDN]:9090

VLAN-y

Więcej o sieciach warto poczytać w dokumentacji. Możliwości jest wiele, tutaj opiszemy podłączenie wirtualnych sieci.

Aby podłączyć inne podsieci, należy je najpierw opisać w konfiguracji: Sieć -> Sieci -> Nowa, tutaj obowiązkowym polem jest tylko nazwa; pole wyboru VM Network, zezwalające maszynom na korzystanie z tej sieci, jest zaznaczone, a aby podłączyć tag, należy włączyć Włącz tagowanie VLAN, wpisać numer VLAN i nacisnąć OK.

Teraz należy przejść do hostów Komputacji -> Hosty -> kvmNN -> Interfejsy sieciowe -> Ustawienia sieci hosta. Dodaną sieć z prawej strony Unassigned Logical Networks przesunąć w lewo do Assigned Logical Networks:

oVirt w 2 godziny. Część 3. Dodatkowe ustawienia
Rys. 4 — przed dodaniem sieci.

oVirt w 2 godziny. Część 3. Dodatkowe ustawienia
Rys. 5 — po dodaniu sieci.

Aby masowo podłączyć kilka sieci do hosta, wygodnie jest podczas tworzenia sieci przypisać im etykietę(y) i dodawać sieci według etykiet.

Po utworzeniu sieci hosty przejdą w stan Non Operational, aż zakończy się dodawanie sieci do wszystkich węzłów klastra. Takie zachowanie jest wywoływane przez atrybut Require All na karcie Cluster podczas tworzenia nowej sieci. W przypadku, gdy sieć nie jest potrzebna na wszystkich węzłach klastra, ten atrybut można wyłączyć, wtedy sieć przy dodawaniu do hosta znajdzie się po prawej stronie w sekcji Non Required i można wybrać, czy podłączyć ją do konkretnego hosta.

oVirt w 2 godziny. Część 3. Dodatkowe ustawienia
Rys. 6 — wybór atrybutu wymogu sieci.

Specyficzne dla HPE

Prawie wszyscy producenci mają narzędzia, które zwiększają komfort pracy z ich produktami. Na przykład HPE oferuje przydatne AMS (Agentless Management Service, amsd dla iLO5, hp-ams dla iLO4) i SSA (Smart Storage Administrator, praca z kontrolerem dysków) i inne.

Podłączenie repozytorium HPE
Importujemy klucz i podłączamy repozytoria HPE:

$ sudo rpm --import https://downloads.linux.hpe.com/SDR/hpePublicKey2048_key1.pub
$ sudo vim /etc/yum.repos.d/mcp.repo

zawartości:

[mcp]
name=Management Component Pack
baseurl=http://downloads.linux.hpe.com/repo/mcp/centos/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

[spp]
name=Service Pack for ProLiant
baseurl=http://downloads.linux.hpe.com/SDR/repo/spp/RHEL/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

Przeglądanie zawartości repozytorium i informacji o pakiecie (informacyjnie):

$ sudo yum --disablerepo="*" --enablerepo="mcp" list available
$ yum info amsd

Instalacja i uruchomienie:

$ sudo yum install amsd ssacli
$ sudo systemctl start amsd

Przykład pracy narzędzia do zarządzania kontrolerem dysków
oVirt w 2 godziny. Część 3. Dodatkowe ustawienia

Na tym na razie wszystko. W następnych artykułach zamierzam opisać niektóre podstawowe operacje i zastosowania. Np. jak stworzyć VDI w oVirt.

Źródło: habr.com

Kup solidny hosting stron z ochroną przed DDoS, serwery VPS VDS 🔥 Kup solidny hosting stron z ochroną przed DDoS, serwery VPS VDS | ProHoster