Chef配置最佳实践是什么

Chef 是常用的基础设施自动化配置管理工具（Infrastructure as Code）。下面从架构设计、Cookbook 编写、环境管理、安全、测试与运维几个方面，总结 Chef 配置的最佳实践。

一、整体架构与组织

1. 明确 Chef 组件职责

• Chef Server：集中管理 Cookbook、Node、Role、Environment
• Chef Workstation：编写、测试、上传 Cookbook
• Chef Client：在节点上执行配置

✅ 建议：

• 生产环境使用 Chef Server（或 Automate）
• 小规模可使用 chef-solo / chef-client --local-mode（不推荐长期）

2. 合理组织 Cookbook 结构

推荐结构：

cookbooks/
  myapp/
    recipes/
    attributes/
    templates/
    files/
    libraries/
    tests/

✅ 最佳实践：

• 一个 Cookbook 只做一件事（单一职责）
• 可复用逻辑抽成 library cookbook / custom resource

二、Cookbook 编写规范

3. 使用 Custom Resources 而非 Recipe 堆砌

resource_name :myapp_service

property :version, String, required: true

action :install do
  package 'myapp' do
    version new_resource.version
  end
end

✅ 好处：

• 可复用
• 易测试
• 逻辑清晰

4. 避免硬编码

❌ 不推荐：

node.default['port'] = 8080

✅ 推荐：

• 使用 attributes
• 通过 Role / Environment / Policyfile 覆盖

5. 使用 why-run 和幂等性

• 所有资源必须是 幂等 的
• 上线前执行：

chef-client --why-run

三、环境与管理策略

6. 使用 Environment 区分环境

environment 'production' do
  cookbook 'myapp', '= 1.2.0'
end

✅ 建议：

• dev / test / prod 分离
• 不同环境不同 attribute

7. 使用 Policyfile（推荐新项目）

Policyfile 比 Role + Environment 更可控：

name 'myapp'
run_list 'myapp::default'
cookbook 'myapp', '1.2.0'

✅ 优点：

• 版本锁定
• 可审计
• 易于回滚

四、安全与权限

8. 敏感数据使用 encrypted databag

knife data bag create secret --secret-file secret.pem

✅ 禁止：

• 明文字典
• 提交密钥到 Git

9. 控制 Chef Server 权限

• 使用 Organization
• 按团队分配 ACL
• 定期轮换 validator / user key

五、测试与质量

10. 测试是必须的

推荐测试栈：

• Cookstyle：代码规范
• Foodcritic：Cookbook 检查
• ChefSpec：单元测试
• Test Kitchen + InSpec：集成测试

示例：

cookstyle
chefspec
kitchen test

11. CI/CD 集成

• Git Push → CI 执行测试 → 上传 Cookbook
• 不允许手动改节点

六、运维与可维护性

12. 版本与回滚

• Cookbook 使用语义化版本
• 保留历史版本
• Policyfile 可快速回滚

13. 日志与审计

• 开启 Chef Client 日志
• 使用 Chef Automate / Splunk 收集
• 定期审查 node 状态

七、常见反模式（应避免）

❌ 在 recipe 里写 shell 命令滥用 execute
❌ 一个 Cookbook 配置整个系统
❌ 手动修改节点后忘记写回代码
❌ 把密码写进 attribute

总结一句话

Chef 的最佳实践 = 单一职责 Cookbook + Policyfile 管理 + 敏感数据加密 + 全流程测试 + 不可变基础设施理念

如果你需要，我也可以：

• 给你一个 标准 Cookbook 模板
• 对比 Chef vs Ansible
• 写一个 Production Ready 示例