SaltStack配置管理有哪些最佳实践

SaltStack 配置管理最佳实践

一 架构与版本控制

• 使用Git管理所有 Salt 配置（SLS、Pillar、top.sls、Formulas），通过GitFS作为文件后端，实现配置的版本化、审计与多人协作；必要时保留本地 roots 作为回退与开发环境。示例配置：fileserver_backend 包含 roots、git；gitfs_provider 使用 pygit2；通过 gitfs_remotes 指定仓库；用 gitfs_root 指向仓库中的配置根目录（如 salt/）。变更流程建议：特性分支 → 代码审查 → 合并到主干 → 拉取至 Salt Master 并重启服务验证。
• 采用模块化与复用：将通用功能沉淀为可复用的 Formulas，按角色/服务拆分 SLS，主 SLS 通过 include 组合；在开发/测试阶段使用 Vagrant 快速验证状态与编排，降低对生产的影响。

二 数据与目标匹配

• 用 Grains 描述节点静态属性（如 os、osrelease、ipv4），用于目标匹配与条件化配置；避免在运行时频繁变更 Grains，必要时通过同步机制更新。示例：salt -G ‘os:CentOS’ test.ping；在 SLS 中结合 Grains 做差异化（如包名、服务名）。
• 用 Pillar 管理敏感数据（数据库密码、API Key）与环境/业务差异；通过 pillar_roots 与 top.sls 分发，使用 saltutil.refresh_pillar 刷新；可用 salt -I ‘key:value’ 进行 Pillar 匹配。示例：在 Pillar 中按 os 选择 httpd/apache2，在 top.sls 中将其下发到 ‘*’。

三 状态编写与执行

• 坚持声明式与幂等：SLS 应描述“期望状态”，可多次执行而不变更结果；避免用 cmd.run 实现配置目标，优先使用专用 state 模块（如 pkg、file、service）。
• 正确编排与依赖：使用 require（前置依赖）与 watch（变更触发动作）确保正确的启动顺序与热更新；服务变更配合 reload/restart。示例：服务运行前依赖包与配置就绪；配置文件变更时自动重载。
• 环境与入口管理：通过 state_top: top.sls 定义全局编排；区分 state.highstate（读取 top.sls 执行）与 state.sls（按指定 SLS 执行，不读 top.sls），在调试/灰度时优先使用 state.sls 限定范围。

四 安全与合规

• 启用认证与授权：Master/Minion 之间基于密钥认证建立信任；对外暴露能力时，使用 Salt API 并结合 ACL（client_acl） 精细化授权，仅开放必要函数，避免滥用远程执行。
• 加固 Master 与网络：限制 4505/4506 端口访问、最小权限运行服务、审计与轮换密钥；及时升级修复已知漏洞（如历史上影响广泛的 CVE-2020-16846/25592），并建立变更与回滚预案。

五 可观测性与变更管理

• 以测试驱动落地变更：先用 test=True / state.show_sls / state.highstate test=True 预演，确认差异后再执行；执行后使用 state.sls_id 或 highstate 返回码、Reactor 与 Returners 将结果写入日志/告警/工单系统，形成闭环。
• 持续验证与演练：在 Vagrant 或专用测试环境复现生产拓扑，定期执行配置合规检查与演练回滚；对关键变更采用蓝绿/金丝雀策略，降低风险。