怎样用Chef保配置一致

下面用通俗 + 示例的方式讲清楚：怎样用 Chef 来保证服务器配置的一致性（Configuration Consistency）。

一、核心思想（先理解这个）

Chef 的核心原则是：

“服务器应该始终处于你描述的理想状态”

你不是写“怎么做”，而是写：

✅ 这台机器 应该是什么样

Chef 会：

• 检查当前状态
• 如果不一致 → 自动修正
• 如果一致 → 什么都不做

这就是声明式（Desired State）。

二、Chef 保证一致性的关键组件

1️⃣ Recipe（配方）

描述“要什么”

package 'nginx' do
  action :install
end

service 'nginx' do
  action [:enable, :start]
end

➡ 不管机器现在有没有 nginx，Chef 都会确保：

• 已安装
• 开机自启
• 正在运行

2️⃣ Cookbook（菜谱）

一组相关 Recipe + 配置

例如：

cookbooks/
└── nginx/
    ├── recipes/
    │   └── default.rb
    └── templates/

3️⃣ Node（节点）

被管理的服务器

每个 Node 都有：

• 操作系统
• 角色（web / db / cache）
• 属性（配置参数）

4️⃣ Chef Server / Chef Zero

• 存储 Cookbook
• 存储 Node 状态
• 保证所有机器用同一套配置

三、保证一致性的标准流程

✅ 第 1 步：定义“理想状态”

file '/etc/motd' do
  content "Authorized access only\n"
end

不管谁改了 /etc/motd，下次 Chef 运行都会还原。

✅ 第 2 步：定期运行 Chef

方式 1：手动

chef-client

方式 2：定时（推荐）

# 每 30 分钟
*/30 * * * * /usr/bin/chef-client

➡ 漂移（配置被改）会被自动纠正

✅ 第 3 步：用 Role / Environment 分层

Role 示例

name "web"
run_list "recipe[nginx]"

好处

• Web 服务器永远一样
• DB 服务器永远一样
• 不会“这台少装一个包”

✅ 第 4 步：用 Attributes 控制差异

default['nginx']['port'] = 80

不同环境：

# production
override['nginx']['port'] = 443

➡ 结构一致，参数可控

四、Chef 如何“检测不一致”

Chef 每一步都做：

1. 读取当前系统状态
2. 对比 Recipe 描述
3. 只执行“必要变更”

例如：

• 文件存在但内容不对 → 重写
• 服务没启动 → 启动
• 已一致 → 跳过

✅ 这就是幂等性（Idempotent）

五、典型一致性场景

六、最佳实践（很重要）

✅ 所有变更走 Chef，不手工改服务器
✅ Cookbook 进 Git
✅ 测试用 Test Kitchen
✅ 生产前用 Chef Spec / InSpec 验证

七、一句话总结

用 Chef 保证配置一致 = 用代码定义服务器，并持续强制执行

如果你愿意，我可以：

• 给你一个 最小可运行 Chef 示例
• 对比 Ansible vs Chef
• 讲 如何用 InSpec 做合规检查

你想看哪一个？