Hinzufügen von Knoten, die vom Puppet-Master verwaltet werden

Wichtig

Der AWS OpsWorks for Puppet Enterprise Service hat am 31. März 2024 das Ende seiner Lebensdauer erreicht und wurde sowohl für neue als auch für bestehende Kunden deaktiviert. Wir empfehlen Kunden dringend, ihre Workloads so bald wie möglich auf andere Lösungen zu migrieren. Informationen zur Migration Ihrer vorhandenen Puppet Enterprise-Server finden Sie unter. So migrieren Sie einen OpsWorks for Puppet Enterprise-Server zu Amazon Elastic Compute Cloud (Amazon EC2) Wenn Sie Fragen zur Migration haben, wenden Sie sich an das AWS Support Team auf AWS re:POST oder über den AWS Premium-Support.

Die empfohlene Methode zum Hinzufügen von Knoten ist die Verwendung der AWS OpsWorks associateNode() API. Der Puppet Enterprise-Master-Server hostet ein Repository, das Sie verwenden, um die Puppet Agent-Software auf Knoten zu installieren, die Sie verwalten möchten. Dabei spielt es keine Rolle, ob sich die Knoten auf lokalen Computern oder virtuellen Maschinen befinden. Die Puppet-Agent-Software für einige Betriebssysteme wird im Rahmen des Startvorgangs auf dem OpsWorks for Puppet Enterprise-Server installiert. In der folgenden Tabelle sind die Betriebssystem-Agenten aufgeführt, die beim Start auf Ihrem Server OpsWorks für Puppet Enterprise verfügbar sind.

Vorinstallierte Betriebssystem-Agenten
Unterstütztes Betriebssystem	Versionen
Ubuntu	16.04, 18.04, 20.04
Red Hat Enterprise Linux (RHEL)	6, 7, 8
Windows	64-Bit-Editionen aller von Puppet unterstützten Windows-Versionen

Sie können puppet-agent Ihrem Server für andere Betriebssysteme hinzufügen. Beachten Sie, dass die Systemwartung Agenten löscht, die Sie Ihrem Server nach dem Start hinzugefügt haben. Obwohl die meisten vorhandenen zugeordneten Knoten, auf denen der gelöschte Agent bereits läuft, weiterhin angemeldet werden, kann es sein, dass Knoten mit Debian-Betriebssystemen keine Berichte mehr erstellen. Es wird empfohlen, die Installation manuell puppet-agent auf Knoten durchzuführen, auf denen Betriebssysteme ausgeführt werden, für die die Agentsoftware nicht auf Ihrem OpsWorks for Puppet Enterprise-Server vorinstalliert ist. Detaillierte Informationen dazu, wie Sie puppet-agent auf Ihrem Server für Knoten mit anderen Betriebssystemen bereitstellen, finden Sie unter Installing agents in der Puppet Enterprise-Dokumentation.

Weitere Informationen dazu, wie Sie Ihrem Puppet-Master automatisch Knoten zuordnen, indem Sie Benutzerdaten für die EC2-Instance angeben, finden Sie unter Automatisches Hinzufügen von Knoten in OpsWorks Puppet Enterprise.

Führen Sie associateNode() API-Aufrufe aus

Nachdem Sie Knoten durch Installation hinzugefügt habenpuppet-agent, senden die Knoten Zertifikatssignieranfragen (CSRs) an den OpsWorks for Puppet Enterprise-Server. Sie können den CSRs in der Puppet-Konsole anzeigen. Weitere Informationen über Knoten-CSRs finden Sie unter Managing certificate signing requests in der Puppet Enterprise-Dokumentation. Beim Ausführen des associateNode() API-Aufrufs OpsWorks für Puppet Enterprise werden Knoten-CSRs verarbeitet und der Knoten Ihrem Server zugeordnet. Im Folgenden finden Sie ein Beispiel dafür, wie Sie diesen API-Aufruf verwenden, AWS CLI um einen einzelnen Knoten zuzuordnen. Sie benötigen die PEM-formatierte CSR, die der Knoten sendet. Diese erhalten Sie von der Puppet-Konsole.

aws opsworks-cm associate-node --server-name "test-puppet-server" --node-name "node or instance ID" --engine-attributes "Name=PUPPET_NODE_CSR,Value='PEM_formatted_CSR_from_the_node'

Weitere Informationen zum automatischen Hinzufügen von Knoten mit associateNode() finden Sie unter Automatisches Hinzufügen von Knoten in OpsWorks Puppet Enterprise.

Überlegungen beim Hinzufügen von lokalen Knoten

Nach puppet-agent der Installation auf Ihren lokalen Computern oder virtuellen Maschinen können Sie eine von zwei Methoden verwenden, um lokale Knoten Ihrem OpsWorks for Puppet Enterprise-Master zuzuordnen.

• Wenn ein Knoten die Installation des AWS-SDKs, der AWS CLI oder von AWS Tools for PowerShell unterstützt, können Sie die empfohlene Methode für das Zuordnen von Knoten verwenden: Führen Sie den API-Aufruf associateNode() aus. Das Starterkit, das Sie herunterladen, wenn Sie zum ersten Mal einen Master OpsWorks für Puppet Enterprise erstellen, zeigt, wie Sie Knoten mithilfe von Tags Rollen zuweisen. Durch Festlegen von vertrauenswürdigen Fakten in der Zertifikatssignierungsanforderung können Sie Tags gleichzeitig mit dem Zuordnen von Knoten zum Puppet-Master anwenden. Das Demo-Kontroll-Repository aus dem Starter Kit ist beispielsweise so konfiguriert, dass das Tag pp_role zum Zuweisen von Rollen an Amazon EC2-Instances verwendet wird. Weitere Informationen zum Hinzufügen von Tags als vertrauenswürdige Fakten zu einer Zertifikatssignierungsanforderung finden Sie unter Extension requests (permanent certificate data) in der Puppet-Plattform-Dokumentation.

• Wenn der Knoten keine AWS Verwaltungs- oder Entwicklungstools ausführen kann, können Sie ihn trotzdem bei Ihrem OpsWorks for Puppet Enterprise-Master registrieren, genauso wie Sie ihn bei einem nicht verwalteten Puppet Enterprise-Master registrieren würden. Wie in diesem Thema erwähnt, wird bei der Installation eine CSR an den Master OpsWorks für Puppet Enterprise puppet-agent gesendet. Ein autorisierter Puppet-Benutzer kann die Zertifikatsignierungsanforderung entweder manuell signieren oder die automatische Signierung konfigurieren, indem er die auf dem Puppet-Master gespeicherte Datei autosign.conf bearbeitet. Weitere Informationen zum Konfigurieren der automatischen Signierung und zum Bearbeiten der Datei autosign.conf finden Sie unter SSL configuration: autosigning certificate requests in der Puppet-Dokumentation.

Um lokale Knoten mit einem Puppet-Master zu verknüpfen und dem Puppet-Master zu erlauben, alle CSRs zu akzeptieren, gehen Sie auf der Puppet Enterprise-Konsole wie folgt vor. Der Parameter zur Steuerung des Verhaltens ist puppet_enterprise::profile::master::allow_unauthenticated_ca.

Wichtig

Aus Sicherheitsgründen ist es nicht empfehlenswert, den Puppet-Master in die Lage zu versetzen, selbstsignierte CSRs oder alle CSRs zu akzeptieren. Standardmäßig wird ein Puppet-Master für die ganze Welt zugänglich, wenn nicht authentifizierte CSRs zugelassen werden. Wenn Sie den Upload von Zertifikatsanforderungen standardmäßig aktivieren, kann Ihr Puppet-Master anfällig für Denial-of-Service (DoS)-Angriffe werden.

1. Anmeldung bei der Puppet Enterprise-Konsole.

2. Wählen Sie Configure (Konfigurieren), dann Classification (Klassifizierung) und anschließend PE Master (PE-Master) aus und wechseln Sie zur Registerkarte Configuration (Konfiguration).

3. Suchen Sie auf der Registerkarte Classification (Klassifizierung) die Klasse puppet_enterprise::profile::master.

4. Setzen Sie den Wert des Parameters allow_unauthenticated_ca auf true (Wahr).

5. Speichern Sie Ihre Änderungen. Ihre Änderungen werden während der nächsten Puppet-Ausführung angewendet. Sie können 30 Minuten warten, bis die Änderungen wirksam werden (und lokale Knoten hinzugefügt werden), oder Sie können einen Puppet-Lauf manuell im Abschnitt Run (Ausführen) der PE-Konsole starten.

Weitere Informationen

Besuchen Sie die Learn Puppet-Tutorial-Website, um mehr über die Verwendung von Servern OpsWorks für Puppet Enterprise und die Funktionen der Puppet Enterprise-Konsole zu erfahren.