ProHoster > Blog > Administrácia > oVirt za 2 hodiny. Časť 3. Dodatočné nastavenia

oVirt za 2 hodiny. Časť 3. Dodatočné nastavenia

V tomto článku sa pozrieme na niekoľko nepovinných, ale užitočných nastavení:

Tento článok je pokračovaním, začiatok pozri oVirt za 2 hodiny Časť 1 a časť 2.

Články

  1. Úvod
  2. Inštalácia manažéra (ovirt-engine) a hypervízorov (hosts)
  3. Dodatočné nastavenia – Sme tu

Dodatočné nastavenia manažéra

Pre pohodlie práce nainštalujeme dodatočné balíčky:

$ sudo yum install bash-completion vim

Aby ste povolili automatické dopĺňanie príkazov bash-completion, môžete prejsť na bash.

Pridanie dodatočných DNS mien

To bude potrebné, keď sa treba pripojiť k manažérovi pod alternatívnym menom (CNAME, alias alebo jednoducho krátke meno bez doménového sufixu). Z bezpečnostných dôvodov manažér povoľuje pripojenie len podľa povoleného zoznamu mien.

Vytvárame konfiguračný súbor:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-sso-setup.conf

nasledujúceho obsahu:

SSO_ALTERNATE_ENGINE_FQDNS="ovirt.example.com some.alias.example.com ovirt"

a reštartujeme manažéra:

$ sudo systemctl restart ovirt-engine

Nastavenie autentifikácie cez AD

oVirt má vstavanú databázu používateľov, ale tiež podporuje externé LDAP poskytovateľov, vrátane AD.

Najjednoduchší spôsob pre typovú konfiguráciu – spustenie sprievodcu a reštartovanie manažéra:

$ sudo yum install ovirt-engine-extension-aaa-ldap-setup
$ sudo ovirt-engine-extension-aaa-ldap-setup
$ sudo systemctl restart ovirt-engine

Príklad práce sprievodcu
$ sudo ovirt-engine-extension-aaa-ldap-setup
Dostupné LDAP implementácie:
…
3 — Active Directory
…
Prosím vyberte: 3
Prosím zadajte názov lesa Active Directory: example.com

Prosím vyberte protokol na použitie (startTLS, ldaps, plain) [startTLS]:
Prosím vyberte metódu na získanie certifikátu CA kódovaného PEM (Súbor, URL, In-line, Systém, Neregulovaný): URL
URL: wwwca.example.com/myRootCA.pem
Zadajte DN vyhľadávacieho používateľa (napríklad uid=username,dc=example,dc=com alebo nechajte prázdne pre anonymné): CN=oVirt-Engine,CN=Users,DC=example,DC=com
Zadajte heslo vyhľadávacieho používateľa: *heslo*
[ INFO ] Pokus o pripojenie pomocou ‘CN=oVirt-Engine,CN=Users,DC=example,DC=com’
Chystáte sa používať Single Sign-On pre virtuálne stroje (Áno, Nie) [Áno]:
Prosím, uveďte názov profilu, ktorý bude viditeľný pre používateľov [example.com]:
Prosím poskytnite údaje na testovanie prihlásenia:
Zadajte meno používateľa: someAnyUser
Zadajte heslo používateľa:
…
[ INFO ] Sekvencia prihlásenia bola úspešne vykonaná
…
Vyberte testovaciu sekvenciu na vykonanie (Hotovo, Zrušiť, Prihlásiť, Vyhľadávať) [Hotovo]:
[ INFO ] Fáza: Nastavenie transakcie
…
ZHRNUTIE NASTAVENIE
…

Použitie sprievodcu je vhodné pre väčšinu prípadov. Pre zložité konfigurácie sa nastavenia vykonávajú ručne. Podrobnejšie v dokumentácii oVirt, Používatelia a role. Po úspešnom pripojení Engine k AD sa v okne pripojenia objaví dodatočný profil a na karte Práva u objektov systému — možnosť udeľovať oprávnenia používateľom a skupinám AD. Treba poznamenať, že externým katalógom používateľov a skupín nemusí byť len AD, ale aj IPA, eDirectory a iné.

Multipathing

V produkčnom prostredí musí byť úložný systém pripojený k hostiteľovi viacerými nezávislými cestami mnohonásobného vstupu a výstupu. Zvyčajne v CentOS (a teda aj v oVirt) nie sú problémy s vytváraním viacerých ciest k zariadeniu (find_multipaths yes). O ďalších nastaveniach pre FCoE sa píše v 2. časti. Je potrebné venovať pozornosť odporúčaniu výrobcu SCS — mnohí odporúčajú použiť politiku round-robin, zatiaľ čo v Enterprise Linux 7 je predvolene používaná politika service-time.

Na príklade 3PAR
a dokumente HPE 3PAR Red Hat Enterprise Linux, CentOS Linux, Oracle Linux, a OracleVM Server Implementation Guide EL sa vytvorí ako Host s Generic-ALUA Persona 2, pre neho sa do nastavení /etc/multipath.conf pridajú nasledujúce hodnoty:

defaults {
           polling_interval      10
           user_friendly_names   no
           find_multipaths       yes
          }
devices {
          device {
                   vendor                   "3PARdata"
                   product                  "VV"
                   path_grouping_policy     group_by_prio
                   path_selector            "round-robin 0"
                   path_checker             tur
                   features                 "0"
                   hardware_handler         "1 alua"
                   prio                     alua
                   failback                 immediate
                   rr_weight                uniform
                   no_path_retry            18
                   rr_min_io_rq             1
                   detect_prio              yes
                   fast_io_fail_tmo         10
                   dev_loss_tmo             "infinity"
                 }
}

Po čom sa vydá príkaz na reštart:

systemctl restart multipathd

oVirt za 2 hodiny. Časť 3. Dodatočné nastavenia
Obr. 1 — politika mnohonásobného vstupu a výstupu podľa predvolených nastavení.

oVirt za 2 hodiny. Časť 3. Dodatočné nastavenia
Obr. 2 — politika mnohonásobného vstupu a výstupu po aplikovaní nastavení.

Nastavenie správy napájania

Umožňuje vykonať, napríklad, hardvérové reštartovanie zariadenia, ak Engine nebude schopný dlhodobo získať odpoveď od Hostiteľského zariadenia. Realizuje sa prostredníctvom Fence Agent (zariadenia ochrany).

Compute -> Hosts -> HOST — Edit -> Power Management, následne povoliť „Enable Power Management“ a pridať agenta — „Add Fence Agent“ -> +.

Uvedieme typ (napr. pre iLO5 je potrebné uviesť ilo4), názov/adresu ipmi rozhrania, ako aj meno/heslo používateľa. Odporúča sa vytvoriť samostatného používateľa (napr. oVirt-PM) a v prípade iLO mu udeliť privilégia:

  • Prihlásenie
  • Diaľková konzola
  • Virtuálne napájanie a reset
  • Virtuálne médiá
  • Konfigurácia nastavení iLO
  • Správa užívateľských účtov

Nespýtajte sa, prečo práve takto, bolo to vybrané na základe skúseností. Konzolový fencing agent vyžaduje menší súbor prístupových práv.

Pri nastavovaní zoznamov kontrolných prístupov je potrebné mať na pamäti, že agent sa spúšťa nie na engine, ale na "susednom" hoste (takzvaný Power Management Proxy), t.j. ak v klastri zostane len jeden uzol, správa napájania nebude fungovať. nebude.

Nastavenie SSL

Úplný oficiálny návod je v dokumenácie, Príloha D: oVirt a SSL – Nahradenie SSL/TLS certifikátu motora oVirt.

Certifikát môže byť od našej firemnej certifikačnej autority alebo z vonkajšej komerčnej certifikačnej autority.

Dôležité upozornenie: certifikát je určený na pripojenie k manažérovi, neovplyvní interakciu medzi Engine a uzlami — tie budú používať samopodpisané certifikáty vydané Engine.

Požiadavky:

  • certifikát vydávajúcej certifikačnej autority vo formáte PEM, so všetkými pripojenými certifikátmi až po koreňovú certifikačnú autoritu (od podriadeného vydávajúceho na začiatku až po koreňového na konci);
  • certifikát pre Apache, vydaný vydávajúcou certifikačnou autoritou (tiež doplnený o všetky pripojené certifikáty certifikačnej autority);
  • privátny kľúč pre Apache, bez hesla.

Predpokladajme, že náš certifikačný úrad pracuje pod CentOS, volá sa subca.example.com, a požiadavky, kľúče a certifikáty sa nachádzajú v adresári /etc/pki/tls/.

Vykonáme zálohy a vytvoríme dočasný adresár:

$ sudo cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.`date +%F`
$ sudo cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.`date +%F`
$ sudo mkdir /opt/certs
$ sudo chown mgmt.mgmt /opt/certs

Nahrávanie certifikátov, vykonávame ho zo svojej pracovnej stanice alebo ich odovzdáme iným vhodným spôsobom:

[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/cachain.pem mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com:/etc/pki/tls/private/ovirt.key mgmt@ovirt.example.com:/opt/certs
[myuser@mydesktop] $ scp -3 causer@subca.example.com/etc/pki/tls/certs/ovirt.crt mgmt@ovirt.example.com:/opt/certs

V dôsledku toho by ste mali vidieť všetky 3 súbory:

$ ls /opt/certs
cachain.pem  ovirt.crt  ovirt.key

Inštalácia certifikátov

Kopírujeme súbory a aktualizujeme zoznamy dôvery:

$ sudo cp /opt/certs/cachain.pem /etc/pki/ca-trust/source/anchors
$ sudo update-ca-trust
$ sudo rm /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/cachain.pem /etc/pki/ovirt-engine/apache-ca.pem
$ sudo cp /opt/certs/ovirt03.key /etc/pki/ovirt-engine/keys/apache.key.nopass
$ sudo cp /opt/certs/ovirt03.crt /etc/pki/ovirt-engine/certs/apache.cer
$ sudo systemctl restart httpd.service

Pridať/aktualizovať konfiguračné súbory:

$ sudo vim /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf
ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""
$ sudo vim /etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf
SSL_CERTIFICATE=/etc/pki/ovirt-engine/certs/apache.cer
SSL_KEY=/etc/pki/ovirt-engine/keys/apache.key.nopass
$ sudo vim /etc/ovirt-imageio-proxy/ovirt-imageio-proxy.conf
# Key file for SSL connections
ssl_key_file = /etc/pki/ovirt-engine/keys/apache.key.nopass
# Certificate file for SSL connections
ssl_cert_file = /etc/pki/ovirt-engine/certs/apache.cer

Ďalej reštartujeme všetky dotknuté služby:

$ sudo systemctl restart ovirt-provider-ovn.service
$ sudo systemctl restart ovirt-imageio-proxy
$ sudo systemctl restart ovirt-websocket-proxy
$ sudo systemctl restart ovirt-engine.service

Hotovo! Je čas pripojiť sa k manažérom a skontrolovať, že pripojenie je zabezpečené podpísaným SSL certifikátom.

Archivácia

Kam by sme bez nej? V tejto sekcii sa budeme zaoberať archiváciou manažéra, archivácia VM je samostatná téma. Archívne kópie budeme robiť raz denne a ukladáme ich na NFS, napr. na tú istú systém, kde sme umiestnili ISO obrazy – mynfs01.example.com:/exports/ovirt-backup. Nie je odporúčané uchovávať archívy na tej istej mašine, kde beží Engine.

Inštalujeme a zapíname autofs:

$ sudo yum install autofs
$ sudo systemctl enable autofs
$ sudo systemctl start autofs

Vytvárame skript:

$ sudo vim /etc/cron.daily/make.oVirt.backup.sh

nasledujúceho obsahu:

#!/bin/bash

datetime=`date +"%F.%R"`
backupdir="/net/mynfs01.example.com/exports/ovirt-backup"
filename="$backupdir/`hostname --short`.`date +"%F.%R"`"
engine-backup --mode=backup --scope=all --file=$filename.data --log=$filename.log
#uncomment next line for autodelete files older 30 days 
#find $backupdir -type f -mtime +30 -exec rm -f {} ;

Robíme súbor spustiteľným:

$ sudo chmod a+x /etc/cron.daily/make.oVirt.backup.sh

Teraz každú noc budeme dostávať archív nastavení manažéra.

Manažmentový rozhranie hostiteľov

Cockpit – moderné administratívne rozhranie pre Linux systémy. V tomto prípade plní úlohu, ktorá je blízka webovému rozhraniu ESXi.

oVirt za 2 hodiny. Časť 3. Dodatočné nastavenia
Obr. 3 – vzhľad panelu.

Inštalácia je veľmi jednoduchá, potrebujeme balíky cockpit a plugin cockpit-ovirt-dashboard:

$ sudo yum install cockpit cockpit-ovirt-dashboard -y

Aktivácia Cockpit:

$ sudo systemctl enable --now cockpit.socket

Nastavenie firewallu:

sudo firewall-cmd --add-service=cockpit
sudo firewall-cmd --add-service=cockpit --permanent

Teraz sa môžeme pripojiť k hostiteľa: https://[Host IP or FQDN]:9090

VLANs

Viac o sieťach stojí za to prečítať v dokumenácie. Možností je veľa, tu opíšeme pripojenie virtuálnych sietí.

Pre pripojenie iných podsietí ich najprv treba opísať v konfigurácii: Network -> Networks -> New, tu je povinným políčkom iba názov; zaškrtávacie políčko VM Network, umožňujúce strojom používať túto sieť, je zaškrtnuté, a pre pripojenie štítku treba povoliť Enable VLAN tagging, zadať číslo VLAN a kliknúť na Ok.

Teraz je potrebné prejsť k hostiteľom Compute -> Hosts -> kvmNN -> Network Interfaces -> Setup Host Networks. Pridanú sieť z pravej strany Unassigned Logical Networks pretiahnuť doľava do Assigned Logical Networks:

oVirt za 2 hodiny. Časť 3. Dodatočné nastavenia
Obr. 4 – pred pridaním siete.

oVirt za 2 hodiny. Časť 3. Dodatočné nastavenia
Obr. 5 – po pridaní siete.

Pre masové pripojenie viacerých sietí k hostiteľovi je pohodlné pri vytváraní sietí priradiť im štítku(í) a pridávať siete podľa štítkov.

Po vytvorení siete prejdú hostitelia do stavu Non Operational, kým sa dokončí pridávanie siete na všetky uzly klastrov. Toto správanie je spôsobené indikátorom Require All na karte Cluster pri vytváraní novej siete. V prípade, že sieť nie je potrebná na všetkých uzloch klastrov, tento indikátor je možné vypnúť, čím bude sieť pri pridávaní hostiteľovi na pravej strane v sekcii Non Required a môžete si vybrať, či ju pripojiť k konkrétnemu hostiteľovi.

oVirt za 2 hodiny. Časť 3. Dodatočné nastavenia
Obr. 6 — výber indikátora požiadavky siete.

Špecifické pre HPE

Takmer všetci výrobcovia ponúkajú nástroje, ktoré zvyšujú používateľskú prívetivosť ich produktov. Napríklad HPE ponúka užitočné nástroje ako AMS (Agentless Management Service, amsd pre iLO5, hp-ams pre iLO4) a SSA (Smart Storage Administrator, správa diskového ovládača) a ďalšie.

Pripojenie úložiska HPE
Importujeme kľúč a pripájame úložiská HPE:

$ sudo rpm --import https://downloads.linux.hpe.com/SDR/hpePublicKey2048_key1.pub
$ sudo vim /etc/yum.repos.d/mcp.repo

nasledujúceho obsahu:

[mcp]
name=Management Component Pack
baseurl=http://downloads.linux.hpe.com/repo/mcp/centos/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

[spp]
name=Service Pack for ProLiant
baseurl=http://downloads.linux.hpe.com/SDR/repo/spp/RHEL/$releasever/$basearch/current/
enabled=1
gpgkey=file:///etc/pki/rpm-gpg/GPG-KEY-mcp

Prehľad obsahu úložiska a informácií o balíku (referenčné):

$ sudo yum --disablerepo="*" --enablerepo="mcp" list available
$ yum info amsd

Inštalácia a spustenie:

$ sudo yum install amsd ssacli
$ sudo systemctl start amsd

Príklad práce nástroja na správu diskového ovládača
oVirt za 2 hodiny. Časť 3. Dodatočné nastavenia

Na tomto zatiaľ všetko. V nasledujúcich článkoch plánujem povedať o niektorých základných operáciách a aplikáciách. Napr., ako vytvoriť VDI v oVirt.

Zdroj: habr.com

Kúpte si spoľahlivý hosting pre webové stránky s ochranou proti DDoS, VPS VDS servery 🔥 Kúpte si spoľahlivý hosting pre webové stránky s ochranou proti DDoS, VPS VDS servery | ProHoster