如何定制SaltStack的配置管理策略

定制 SaltStack 配置管理策略

一 核心概念与目标

• 明确目标：以可重复、幂等、可审计的方式管理操作系统、中间件、应用与密钥，在开发-测试-预发-生产多环境一致交付。
• 关键概念：
  • State SLS：用YAML描述期望状态（包、文件、服务、用户、定时任务等），声明式、幂等执行。
  • Targeting：用Grains、Pillar、节点组、复合匹配器精准圈定目标主机。
  • Grains：Minion 端静态/半静态属性（如os、osrelease、hostname、ipv4），用于节点选择与差异化配置。
  • Pillar：Master 端密钥/变量存储（如数据库密码、API Key），按目标分发，安全隔离。
  • Jinja：模板渲染，结合Grains/Pillar做条件与变量注入，适配多环境差异。

二 策略设计步骤

• 资产与分组建模
  • 梳理主机清单与角色（如 web、app、db、cache），统一命名规范与主机标签（如 region、env、zone）。
  • 在 Master 配置节点组（推荐在**/etc/salt/master.d/*.conf**中维护），便于集中化管理与复用。
• 数据与密钥治理
  • 将密码、证书、密钥放入Pillar，按角色/环境分层，避免硬编码到 SLS。
  • 规范 Pillar 结构与合并策略，确保最小化可见与审计可追溯。
• 目录与版本化
  • 采用标准目录结构（如**/srv/salt、/srv/pillar**），纳入Git版本控制；按功能/角色拆分 SLS，使用include组合复用。
• Targeting 策略
  • 组合使用Grains（系统/硬件差异）、Pillar（业务/环境差异）、节点组（固定集合）、复合匹配器（复杂条件），在top.sls中分层映射。
• 状态编写规范
  • 每个 SLS 的ID 唯一；优先使用声明式模块（如 pkg、file、service），避免滥用cmd.run；通过require/watch管理依赖与触发重载。
• 测试与演练
  • 建立开发-测试-预发流水线：语法检查（state.show_sls）、干跑（test=True）、分批执行、回滚预案与变更评审。

三 落地示例 以 Nginx 为例

• 目标：按角色与环境分发 Nginx，配置模板化，变更自动reload，仅对RedHat系安装。
• 节点组配置（/etc/salt/master.d/group.conf）
  • 启用分组并定义节点组，便于 top.sls 直接引用。
• 状态文件（/srv/salt/nginx/init.sls）
  • 使用Jinja渲染 worker 进程数与上游列表；通过Grains做系统差异化，通过watch实现配置变更自动重载。
• 目标匹配（/srv/salt/top.sls）
  • 使用节点组与复合匹配器精准圈定目标，按环境分层。
• 执行与验证
  • 语法检查、干跑、分批应用与结果核验，确保幂等与可回滚。

示例文件内容

• /etc/salt/master.d/group.conf
  • default_include: master.d/*.conf
  • nodegroups:
    • web_lb: ‘G@roles:web and G@env:prod’
    • redhat_hosts: ‘G@os:RedHat’
• /srv/salt/nginx/init.sls
  • nginx_pkg:
    • pkg.installed:
      • name: nginx
      • version: 1.24.0
  • nginx_config:
    • file.managed:
      • name: /etc/nginx/nginx.conf
      • source: salt://nginx/files/nginx.conf.jinja
      • user: root
      • group: root
      • mode: 644
      • template: jinja
      • context: worker_processes: {{ grains[‘num_cpus’] }} worker_connections: 4096 upstream_servers: {{ salt[‘mine.get’](‘roles:app’, ‘network.ip_addrs’, tgt_type=‘grain’) }}
  • nginx_service:
    • service.running:
      • name: nginx
      • enable: True
      • reload: True
      • watch:
        • file: nginx_config
        • pkg: nginx_pkg
• /srv/salt/top.sls
  • base:
    • ‘G@roles:web and G@env:prod’:
      • match: compound
      • nginx
    • ‘G@os:RedHat’:
      • match: grain
      • nginx

四 安全与合规要点

• 通信与认证
  • Master-Minion 默认通过ZeroMQ发布/订阅通道通信，使用AES加密与密钥认证；上线前完成密钥指纹核验与最小化授权。
• 密钥与敏感数据
  • 使用Pillar集中管理密码/证书/密钥，按角色/环境隔离，避免明文出现在 SLS 或 Git 仓库。
• 最小权限与隔离
  • 按角色拆分 Pillar 与 State，限制Grains/Pillar可见范围；对生产变更采用审批+分批策略，保留审计日志。

五 规模化与运维实践

• 节点分组与复合匹配
  • 通过节点组固化常用集合，用复合匹配器表达复杂条件（如“角色为 web 且环境为 prod”），在top.sls中复用，降低维护成本。
• 模板与数据聚合
  • 使用Jinja做条件与循环；通过mine在集群内共享数据（如应用实例 IP），支撑服务发现与负载均衡配置。
• 变更治理
  • 全流程Git 管理、CI 校验（语法/干跑）、分批发布、回滚预案与变更评审；对关键服务采用蓝绿/金丝雀策略降低风险。