服务器变更怎用Chef控

下面按**“思路 + 落地步骤 + 常见做法”**给你一个用 Chef 做服务器变更控制的实战说明，偏运维可控、可审计、可回滚。

一、核心思路（先说原则）

用 Chef 做服务器变更，本质不是“手动改服务器”，而是：

变更 = 改 Cookbook / Role / Environment → 提交 → 审核 → 推送到节点

✅ 好处

• 变更可版本化（Git）
• 可审批（PR / MR）
• 可回滚（旧版本 Cookbook）
• 可审计（谁、改了什么、什么时候）

二、标准变更流程（推荐）

1️⃣ 代码化管理一切

所有服务器配置都在 Chef Repo 中：

chef-repo/
├── cookbooks/
├── roles/
├── environments/
├── data_bags/
└── Policyfiles/

✅ 不允许：

• 直接 ssh 改配置
• 手动改 /etc

2️⃣ 变更用 Git 分支 + PR

git checkout -b change-nginx-timeout
# 修改 cookbook
git commit
git push

提交 Merge Request / Pull Request

✅ 审核内容：

• 改了哪些资源
• 是否影响服务
• 是否幂等

3️⃣ 环境隔离（非常重要）

用 Environment 控制变更范围：

# environments/staging.json
{
  "name": "staging",
  "cookbook_versions": {
    "nginx": "= 2.1.0"
  }
}

流程建议：

dev → staging → prod

✅ 禁止直接改 prod

4️⃣ 变更执行方式

方式一：Chef Client 定时跑（最稳）

chef-client

• 自动对齐期望状态
• 不达标自动修复

方式二：人工触发（变更窗口）

knife ssh 'role:web' 'sudo chef-client'

或

chef-client --once

5️⃣ 变更前检查（防翻车）

✅ 先 dry-run（Chef 12+）

chef-client --why-run

✅ 小范围灰度

knife ssh 'role:web AND chef_environment:staging' 'sudo chef-client'

三、回滚怎么做（关键）

方法 1：Cookbook 版本回退

"nginx": "= 2.0.9"

再跑 chef-client

方法 方法 2：Git revert

git revert <commit>
git push

四、审计 & 合规

1️⃣ 审计日志

• Chef Server 有 run history
• 可接 Splunk / ELK

2️⃣ 变更记录表（合规用）

五、常见服务器变更场景（Chef 怎么控）

六、一句话总结

服务器变更 ≠ 登录服务器改东西
服务器变更 = 改 Chef 代码 + 审核 + 推送

如果你愿意，我可以：

• 给你一个 标准 Chef 变更模板
• 或按你现在的架构（物理 / 云 / K8s）具体设计流程
• 或帮你写 变更审批 SOP

你现在是哪种服务器环境？