自动化 Salt-Minion 安装

Question

我必须设置一个新的盐配置。 对于 minion 设置，我想设计一种方法。我想出了这个。

1. 在/etc/salt/roster 文件中输入新的minion，以便我可以使用salt-ssh。
2. 运行盐公式以在这个新的 minion 上安装 salt-minion。
3. 在 minion 上使用 salt-call key.finger --local 生成 minion 指纹，然后以某种方式（仍在研究中）将其掌握并保存在某个文件中，直到 minion 实际尝试连接。
4. 当 minion 实际尝试连接到 master 时，master 会使用存储的指纹确定 minion 身份，然后接受密钥。

完成此操作后，salt state 可以将 minion 带到所需的状态。

与此相关的手工杂务：

1. 我将不得不手动输入，即。 minion-id、IP 和 user 在 /etc/salt/roster 文件中用于我想要的每个新仆从。

   除此之外，我想不出任何缺点。

我的问题是：

1. 这种方法可行吗？
2. 是否存在安全风险？
3. 已经有更好的方法了吗？

附： Master 和 Minions 可能在也可能不在公共网络上。

Answer 1

有salt-cloud 来配置新节点。这包括将使用 SSH 进行配置的提供商 saltify。 See here for the online documentation.它会一步完成以下所有操作：

• 为 minion 创建一组新的键
• 向 master 注册 minion 的 key
• 使用 SSH 连接到 minion 并使用 salt 和 minion 的密钥引导 minion

如果您希望 minions 在连接后验证主密钥，您可以向 minions 发布证书并使用证书like described here 签署主密钥。请仔细检查saltify 是否已经支持此功能。

前段时间我准备了一个salt-cloud 设置，它可以与 DigitalOcean 和 Vagrant on my Github account 一起使用。 Vagrant 配置使用salt-cloud 和saltify。查看 Vagrant 命令中包含的 cheatsheet.adoc。