Spacewalk GPL-Change-Management für Linux. Weltraumspaziergang

Transkript

1 Spacewalk GPL-Change-Management für Linux Weltraumspaziergang Thorsten Scherf Spätestens, wenn die Systemlandschaft auf mehr als eine Handvoll Rechner angewachsen ist, sollte man darüber nachdenken, das Change-Management an zentraler Stelle vorzunehmen. Mit dem Projekt Spacewalk entsteht eine Open- Source-Lösung zur zentralen Verwaltung von Linux-Systemen. x-tract Ein Szenario, das jedem Administrator bekannt vorkommen dürfte: Der für die Webpräsenz zuständige Webserver hat eine Sicherheitslücke. Zum Glück existiert schon Hilfe in Form eines Update-Pakets. Allerdings ist dieses nicht nur auf einem einzelnen System, sondern auf der kompletten Webserver-Farm einzuspielen. Doch statt die neue Software umständlich manuell auf den einzelnen Maschinen zu installieren, bietet es sich an, das von zentraler Stelle aus zu erledigen. Genau dies ist eine der Aufgaben von Spacewalk (siehe Onlinequellen [a], der Open-Source- Variante von Red Hats Network Satellite Server. Darüber lassen sich nicht nur Softwarepakete, sondern auch einzelne Konfigurationsdateien auf Linux-Systeme verteilen. Notwendig hierfür ist die vorherige Registrierung der Systeme auf dem Spacewalk-Server. Anschließend lassen sie sich bequem über ein zentrales Web-Frontend verwalten. Konsolenfetischisten können auf entsprechende Kommandozeilen-Tools zurückgreifen. Sind die Systeme einmal zentral registriert, lassen sich ihnen eine Menge Informationen zuweisen. Hierzu zählen der geografische Standort der Maschine, Rack-Nummer, Hardware und andere nützliche Informationen. Somit führt man ganz nebenbei eine Inventarisierung seiner Systemlandschaft durch. Selbstverständlich lassen sich auch Kickstart-Dateien auf dem Spacewalk- Server ablegen, über die der Administrator komplett neue Systeme aufsetzen kann, unabhängig davon, ob diese auf physikalischer Hardware oder als vir- Ohne ein zentrales Change-Management lassen sich größere Umgebungen nicht mit vertretbarem Aufwand aktuell halten. Mit Spacewalk existiert eine Open-Source-Variante von Red Hats vormals proprietärem Network Satellite Server. Als Server können die Linux-Varianten CentOS oder RHEL dienen, Oracle realisiert momentan das einzig verfügbare Datenbank-Backend. 2 ix 12/2008

2 avr.spacewalk_id16784_ Listing 1: Spacewalk-Server-Installation Im Anschluss an die initiale Installation erfolgt die weitere Konfiguration über ein Web-Interface (Abb. 1. tuelle Instanz laufen. Darüber hinaus kann der zentrale Spacewalk-Server den registrierten Systemen Kommandos schicken und so beispielsweise virtuelle Hosts starten respektive stoppen oder Maschinen nach einem Kernel-Update zu einer bestimmten Uhrzeit einen Reboot durchführen lassen. Derzeit nur limitiertes Server-Angebot Spacewalk liegt momentan in der noch recht jungen Version 0.3 vor. Diese erwartet als Betriebssystem entweder ein Red Hat Enterprise Linux 5 (RHEL5 oder dessen Clone CentOS 5. Support für Fedora als Backend-System ist für eine der nächsten Versionen geplant, momentan kämpfen die Entwickler hier mit Schwierigkeiten bei der Einbindung der Oracle-Datenbank. Als Client-Systeme kann Spacewalk momentan Fedora-, RHEL- und CentOS-Systeme verwalten. Spacewalk bietet sogar die Option, diese in unterschiedlichen Organisationen zu betreiben. Über das Web-Interface kann der Administrator diverse Organisationen erstellen und diesen eine bestimmte Anzahl sogenannter System-Entitlements zuzuweisen. Die Entitlements sind an ein Zertifikat gebunden, das Spacewalk bei der Installation automatisch generiert. Den einzelnen Organisationen lassen sich wiederum Benutzer hinzufügen. Erfolgt die Registrierung eines Clients mit einem Benutzer-Account aus einer bestimmten Organisation, weist der Spacewalk-Server das System auch dieser Organisation zu. Meldet sich ein Benutzer mit seinem Account über das Web- Interface am Spacewalk-Server an, sieht er nur die Systeme aus der eigenen Organisation. Das ist praktisch, wenn man mehrere Abteilungen betreut und die Systeme aus den einzelnen Einheiten getrennt verwalten möchte. Man weist sie einfach unterschiedlichen natürlich im Vorfeld zu erzeugenden Organisationen zu. Ohne Datenbank funktioniert nichts Momentan kann die Installation des Spacewalk-Servers nur auf einem RHEL5- oder CentOS5-System erfolgen. Als Backend erwartet er eine Oracle-10g-Datenbank. Für zukünftige Versionen ist eine Unterstützung für PostgreSQL geplant. Details zur Konfiguration der Oracle-Datenbank liefert der Kasten Datenbank-Setup für Oracle. Spacewalk benötigt zwingend eine aktuelle Java Virtual Machine in der Version 6. Auf einer CentOS-Maschine lässt sich aus dem EPEL-Repository (Extra Packages for Enterprise Linux ein aktuelles OpenJDK-Paket herunterladen. Der folgende Aufruf installiert eine Konfigurationsdatei für das Paketverwaltungs-Tool yum, die den Zugriff auf das EPEL-Repository einrichtet: rpm -Uvh 386/epel-release-5-2.noarch.rpm Auch die yum-konfigurationsdatei für den Spacewalk-Server lässt sich über einen einfachen rpm-aufruf auf dem lokalen RHEL5- oder CentOS5-System installieren: rpm -Uvh # spacewalk-setup --disconnected * Loading answer file: /usr/share/spacewalk/setup/defaults.conf. * Setting up environment and users. ** GPG: Initializing GPG and importing RHN key. * Setting up database. ** Database: Setting up database connection. DB User? spacewalk DB Password? DB SID? xe DB hostname? localhost DB port [1521]? DB protocol [TCP]? ** Database: Testing database connection. ** Database: Populating database. *** Progress: ################################################################## You must enter an address. Admin Address? root@example.com * Performing initial configuration. * Activating Satellite. ** Loading Satellite Certificate. ** Verifying certificate locally. ** Activating Satellite. * Enabling Monitoring. * Creating SSL certificates. CA certificate password? Re-enter CA certificate password? Organization? Red Hat Organization Unit [station14.example.com]? Address [root@example.com]? City? Hamburg State? HH Country code (Examples: "US", "JP", "IN", or type "?" to see a list? DE ** SSL: Generating CA certificate. ** SSL: Deploying CA certificate. ** SSL: Generating server certificate. ** SSL: Storing SSL certificates. * Deploying configuration files. * Update configuration in database. * Restarting services. Installation complete. Visit to create the satellite administrator account. Ist yum entsprechend vorbereitet, kann der Download der notwendigen Pakete beginnen. Da Spacewalk jedoch mit dem Paket specspo kollidiert, sollte dies nicht auf dem Server installiert sein, im Zweifelsfall ist es mit rpm -e specspo einfach zu deinstallieren. Die Abfrage rpm -q whatrequires specspo gibt vorab Auskunft, ob ein anderes Paket auf specspo angewiesen ist. yum install spacewalk initiiert den Download der RPM-Dateien und spielt das notwendige JRE-Paket aus dem EPEL- Repository gleich mit ein. Haben Download und Installation geklappt, startet spacewalk-setup disconnected die Einrichtung des Spacewalk-Servers. Diese setzt eine wie im Kasten Datenbank-Setup für Oracle beschriebene funktionsfähige Oracle- 10g-Datenbank voraus. Bei der Installation ist der Datenbank-User inklusive dessen Passwort und die Datenbank- SID anzugeben. Listing 1 zeigt einen beispielhaften Ablauf. Im nächsten Schritt lässt sich der Spacewalk-Server über die im Listing am Ende genannte URL konfigurieren. Findet die Installation auf einem CentOS5-System statt, ist vor dem Start der Installation ein symbolischer Link von ix 12/2008 3

3 /etc/pki/rpm-gpg/rpm-gpg-key-centos-5 auf /etc/pki/rpm-gpg/rpm-gpg- KEY-redhat-release zu erzeugen, sonst beschwert sich das Setup-Tool über einen nicht existierenden GPG-Schlüssel. Softwarekanäle einrichten Im nächsten Schritt ist der erste Softwarekanal für die Clients einzurichten. Bei deren Registrierung muss der Admin genau einen Basiskanal für das System angeben, aus dem es die Betriebssystem- Pakete und deren Updates beziehen kann. Natürlich kann er zu diesen Basiskanälen weitere Subkanäle einrichten, die sich ebenfalls den Clients zuordnen lassen. Über diese Subkanäle erfolgt die Verteilung weiterer RPM-Pakete auf die Systeme. Dies können selbst gebaute Pakete oder RPMs aus anderen Repositories sein. Möchte man einen initialen Basiskanal für Fedora9-Clients einrichten, benötigt man neben dem Zugriff auf die RPM-Pakete der Fedora9-Distribution ein Werkzeug zum Erzeugen der Kanäle. Letzteres ist das beim Fedora-Projekt gehostete Python-Skript create_channel.py [b]. Der folgende Befehl richtet den ersten Kanal ein:./create_channel.py --label=fedora-9-i name "Fedora 9 32-bit" --summary "32-bit Fedora 9 channel" Das Skript erfragt den Fully Qualified Domain Name (FQDN des Spacewalk-Servers sowie einen Benutzer- Account zum Erzeugen der Kanäle. Hier kann man auf den bei der Installation eingerichteten Admin-Account zurückgreifen. Über das Web-Interface sollte der so eingerichtete Kanal jetzt unter dem Tab Channels sichtbar Über Aktivierungsschlüssel lassen sich Systeme auch ohne Benutzereingriff am Spacewalk-Server registrieren (Abb. 2. sein, natürlich noch ohne Pakete. Diese fügt der folgende Schritt hinzu: Hat man Zugriff auf eine Fedora-9-Installations-CD/DVD, kann man die Pakete direkt vom optischen Medium auf den Spacewalk-Server übertragen. Alternativ lässt sich ein Download der notwendigen Fedora-Pakete durchführen: mkdir /tmp/fedora9 cd /tmp/fedora9 wget -r -l1 --no-parent Dies sollte schon auf dem Spacewalk- Server stattfinden. Nach dem Import der Pakete und dem eventuellen Erzeugen von Kickstart-Trees lassen sich diese aus dem temporären Ordner wieder löschen. Der Import der Pakete erfolgt über das Tool rhnpush, das zum Standardumfang des Spacewalk-Servers gehört. rhnpush --channel=fedora-9-i386 --server= --dir=/tmp/fedora9/packages Für die Anmeldung am Server lässt sich wieder der Admin-Account verwenden. Alternativ kann der Administrator nach dem Einrichten des Kanals für diesen einen Manager bestimmen. Letzterer darf den Softwarekanal verwalten und beispielsweise auch neue Pakete oder Updates einspielen. Die so eingespielten Pakete finden sich anschließend unterhalb von /var/satellite wieder, wobei darauf zu achten ist, dass der Ordner vor dem Upload der Pakete schon existiert und dem Benutzer apache gehört. Weitere Basiskanäle für RHEL oder CentOS kann der Admin auf die gleiche Weise anlegen. Möchte er Subkanäle einrichten, kann er das bequem im Web- Interface über den Tab Channels-> Manage-Software-Packages erledigen. Hierüber lassen sich distributionsunabhängige Pakete verteilen. Beispielsweise könnte man als Subkanal für RHEL den kompletten EPEL-Stack einbinden, damit Client-Systeme lokalen Zugriff auf dieses Repository bekommen. Zur Nutzung des Spacewalk-Servers auch als Installationsserver bedarf es noch einiger Vorbereitungen. In der aktuellen Version sind die hierfür notwendigen Kickstart-Trees nicht in den Spacewalk-RPMs enthalten. Man muss sie manuell mit dem Tool make-ks-tree [c] erzeugen. Damit das klappt, ist im Vorfeld wieder der hierfür notwendige Ordner zu erzeugen: mkdir /var/satellite/rhn/kickstart chown -R apache:root /var/satellite/rhn Ist ein System auf dem Server registriert, bestehen über das Web-Interface viele Konfigurationsmöglichkeiten (Abb. 3. Möchte man auf die bereits heruntergeladenen Fedora-Pakete zurückgreifen, erzeugt der folgende Aufruf./make-ks-tree.sh --channel fedora-9-i386 --source /tmp/fedora9 --dsn spacewalk/spacewalk@xe --install-type fedora_9 4 ix 12/2008

4 avr.spacewalk_id16784_ die notwendigen Kickstart-Trees. Für RHEL5- oder CentOS-Kickstart-Trees sind die Quellen entsprechend anzupassen. Ist das Tool fehlerfrei durchgelaufen, bewirkt der erneute Aufruf mit der Option commit, dass die Änderungen auch in der Datenbank landen. Damit sind die Installation und Konfiguration des Spacewalk-Servers abgeschlossen. Client-Systeme lassen sich nun nach ihrer Registrierung über den Server verwalten und konfigurieren. Registrierung ist erste Pflicht Vor der Registrierung eines Fedora9- Systems sind einige Tools einzuspielen. Ein RPM-Paket mit einer passenden yum-konfigurationsdatei lässt sich aus dem Repository des Autors [d] herunterladen. Im Anschluss sind die folgenden Pakete auf dem Client einzuspielen: yum install rhn-client-tools rhn-check rhn-setup rhnsd m2crypto yum-rhn-plugin Die eigentliche Registrierung der Maschine erfolgt beispielsweise per rhn_register. Eine nicht interaktive Registrierung, etwa als Teil einer Kickstart-Installation, kann rhnreg_ks anstoßen. Hierfür muss der Administrator im Vorfeld auf dem Spacewalk-Server unter Systeme->Aktivierungsschlüssel einen Schlüssel erzeugen, mit dem er später eine Maschine registrieren kann. Der Schlüssel lässt sich direkt an bereits eingerichtete Software- oder auch an Konfigurationskanäle binden, sodass die hiermit registrierten Maschinen sofort Zugriff darauf erhalten. Der Aufruf von rhnreg_ks zur Registrierung könnte wie folgt aussehen: rhnreg_ks -- serverurl= -- activationkey=1-9077d322ac759e fa33e8ef Onlinequellen Unterschiedliche Abteilungen lassen sich in eigenen Organisationen abbilden (Abb. 4. Anschließend erscheint das System im Web-Interface unter dem Tab Systeme und lässt sich hierüber verwalten. Unter dem Tag Eigenschaften lassen sich dem System unterschiedliche Service-Entitlements zuordnen. Wer beispielsweise für ein System eine Kickstart-Datei erzeugen oder es Konfigurationskanälen zuordnen möchte, der muss hier das Provisioning-Entitlement aktivieren. Wer auf die Funktion verzichtet, belässt es beim Management-Entitlement. Zur Software-Installation oder zum Beziehen von Updates reicht es vollkommen aus. Bei aktiviertem Provisioning-Entitlement lässt sich die Maschine beispielsweise über den Tab Konfiguration den Konfigurations-Kanälen zuweisen. Diese funktionieren genau wie Softwarekanäle, nur dass Spacewalk darüber Konfigurationsdateien statt Softwarepakete verteilt. Systeme inventarisieren und organisieren [a] Spacewalk-Server-Wiki fedorahosted.org/spacewalk/ [b] create_channel.py fedorahosted.org/spacewalk/attachment/wiki/ UploadFedoraContent/create_channel.py [c] make-ks-tree fedorahosted.org/spacewalk/browser/scripts/ make-ks-tree [d] Fedora9-Client-Spacewalk-Repository people.redhat.com/tscherf/packages/fedora/ spacewalk/spacewalk-f9-client-repo-0-3.noarch.rpm [e] Oracle-XE-Datenbank-Download database/xe/htdocs/102xelinsoft.html [f] PostgreSQL als Datenbank-Backend fedorahosted.org/spacewalk/wiki/pathtopostgresql Listing 2: /etc/tnsnames.ora XE = (DESCRIPTION = (ADDRESS_LIST = (ADDRESS = (PROTOCOL = TCP(HOST = localhost(port = 1521 (CONNECT_DATA = (SERVICE_NAME = xe Unter dem Tab Provisioning lassen sich einer Maschine zuvor eingerichtete Kickstart-Profile zuweisen. Damit kann der Administrator beim Ausfall einer Maschine diese anhand eines zuvor erzeugten Profils wiederherstellen. Ergänzend kann er zu beliebigen Zeitpunkten Softwareprofile erzeugen und in das Kickstart übernehmen lassen. Über Snapshots kann er Maschinen auch im laufenden Betrieb in einen älteren Zustand zurückversetzen. Das ist hilfreich, hat man beispielsweise ein umfangreiches Softwarepaket oder Updates eingespielt, die nicht einwandfrei funktionieren. Mithilfe von Snapshots könnte man nun die Maschine in den Zustand vor der Software-Installation zurückversetzen. Unter dem Tab Software erfolgt das Einspielen, Löschen und Abfragen neuer Pakete auf der Maschine. Auch ein Vergleich mit Profilen anderer Maschinen ist möglich. Über die Details der Maschinen lassen sich systemspezifische Informationen zu der Maschine festhalten; also beispielsweise Informationen zur eingesetzten Hardware, zum geografischen Standort oder zu Makros, auf die man in Konfigurationsdateien zugreifen kann. Das ist praktisch, wenn man eine Konfigurationsdatei für mehrere Maschinen hat, dort aber systemspezifische Werte eintragen möchte. Spacewalk expandiert die Makros jeweils beim Verteilen der Konfigurationsdateien auf die Maschinen. Hat der Administrator Systeme, die sich in unterschiedlichen Abteilungen befinden, und möchte diese Struktur über den Spacewalk-Server abbilden, kann er diese Einheiten mit den Satellite-Tools in separaten Organisationen ix 12/2008 5

5 Datenbank-Setup für Oracle Spacewalk erwartet in der aktuellen Version Oracle-10g als Datenbank-Backend. Dabei spielt es keine Rolle, ob diese in der Express-, Standard- oder Enterprise-Edition vorliegt. Dieser Artikel beschreibt das Setup der Express-Edition, da sich diese Version kostenlos von der Oracle-Website [e] herunterladen lässt. Nach den Download des Oracle-XE-Server und der Client- Tools lassen sich diese per yum installieren. Das löst auch eventuell noch nicht erfüllte Abhängigkeiten direkt auf: yum install --nogpgcheck oracle-xe-univ i386.rpm oracle-instantclientbasic*.rpm oracle-instantclient-jdbc*.rpm oracle-instantclient-devel*.rpm oracleinstantclient-sqlplus*.rpm Der Aufruf /etc/init.d/oracle-xe configure startet die Konfiguration des installierten Servers. Als HTTP-Port für das Web- Interface sollte man nicht den vorgeschlagenen Port 8080 benutzen, da Tomcat ihn schon verwendet, stattdessen kann man hier beispielsweise Port 9000 angeben. Als Listener-Port übernimmt man einfach den Standard-Port Die weitere Konfiguration des Servers kann über ein Web- Interface erfolgen, allerdings ist dieses nur an den localhost-port gebunden. Soll es aus dem kompletten Netz erreichbar sein, ist die Oracle-Listener-Datei /usr/lib/oracle/xe/app/oracle/product/10.2.0/server/ network/admin/listener.ora um folgenden Eintrag zu erweitern: (DESCRIPTION=(ADDRESS=(PROTOCOL=tcp (HOST=station14.example.com(PORT=9000 (Presentation=HTTP(Session=RAW Alternativ lässt sich der folgende Befehl aus sqlplus heraus an die Datenbank schicken, nachdem man sich als DBA dort angemeldet hat: SQL> EXEC DBMS_XDB.SETLISTENERLOCALAC- CESS(FALSE; Anschließend steht das Web-Interface im lokalen Netz zur Verfügung und man kann sich über den bei der Installation angegebenen Account anmelden. Spacewalk benötigt ein Benutzerkonto mit DBA-Privilegien, dies lässt sich über Administration-> Database User->Create einrichten. Damit die Benutzer bei jedem Login auf dem Datenbank-System eine korrekte Umgebung vorfinden, bietet es sich an, die Datei /usr/lib/oracle/xe/app/oracle/product/ /server/bin/oracle_env.sh nach /etc/ profile.d/ zu verlinken. Das stellt unter anderem sicher, dass die Variable $ORA- CLE_HOME richtig gesetzt ist. Damit die Client-Tools wissen, mit welcher Instanz sie sich verbinden sollen, ist die Datei /etc/ tnsnames.ora anzupassen. In diesem Setup laufen Spacewalk-Server und Datenbank auf dem gleichen Host und die Nameserver-Datei sollte wie in Listing 2 aussehen. Ein Test per sqlplus spacewalk/spacewalk@xe sollte jetzt bestätigen, dass man sich mit dem soeben erzeugten Benutzer an der einzigen Datenbank-SID xe anmelden kann. Bei der Express-Edition gilt es zu beachten, dass die Datenbank nicht größer als 4ˇGByte werden kann. Abschließend ist es noch sinnvoll, die Anzahl gleichzeitiger Datenbank-Verbindungen von 40 auf einen höheren Wert zu setzen: SQL> alter system set processes = 400 scope=spfile; SQL> commit; Natürlich lassen sich über sqlplus auch eigene Datenbanktabellen und Benutzerkonten einrichten, sodass man ohne grafisches Web-Interface auskommen kann. Listing 3 zeigt ein Beispiel. Listing 3: Spacewalk-Datenbank via SQL-Frontend SQL> create tablespace data_tbs datafile '/usr/lib/oracle/xe/oradata/xe/data/data_01.dbf' size 500M, '/usr/lib/oracle/xe/oradata/xe/data/data_02.dbf' size 500M, '/usr/lib/oracle/xe/oradata/xe/data/data_03.dbf' size 500M, '/usr/lib/oracle/xe/oradata/xe/data/data_04.dbf' size 500M extent management local uniform size 128K; SQL> create tablespace tools datafile '/usr/lib/oracle/xe/oradata/xe/data/tools_01.dbf' size 128M extent management local uniform size 64K; SQL> create user spacewalk identified by spacewalk; SQL> alter user spacewalk default tablespace data_tbs quota unlimited on data_tbs; SQL> grant create table to spacewalk; SQL> grant create view to spacewalk; SQL> grant create type to spacewalk; SQL> grant create sequence to spacewalk; SQL> grant create procedure to spacewalk; SQL> grant create operator to spacewalk; SQL> grant create synonym to spacewalk; SQL> grant create trigger to spacewalk; führen. Nach dem Einrichten einer neuen Organisation kann er ihr eine bestimmte Anzahl von System- und Service-Entitlements zuweisen. Diese stehen danach in der eigentlichen Standardorganisation des Servers nicht mehr zur Verfügung. Zusätzlich muss er mindestens einen neuen Admin-Benutzer für die neue Organisation anlegen. Meldet sich dieser über das Web-Interface am Server an, sieht er zunächst keine Systeme. Erst wenn er wie oben beschrieben einen neuen Aktivierungsschlüssel erzeugt und eine neue Maschine damit registriert, ordnet Spacewalk diese der neuen Organisation zu. Damit lassen sich Systeme aus einzelnen Abteilungen vollkommen unabhängig auf dem Spacewalk-Server verwalten. Fazit Mit Spacewalk steht endlich die Open-Source-Variante von Red Hats Network Satellite Server zur Verfügung. Sie bietet alle Funktionen der bislang kommerziellen Variante. Ein Blick in die Roadmap der Entwickler verrät, dass nun auch lange erwartete Features, beispielsweise eine Open- Source-Datenbank als Backend-System [f], bald in die Tat umgesetzt werden könnten. (avr THORSTEN SCHERF Über das Web-Interface lässt sich das für Spacewalk notwendige Benutzerkonto einfach einrichten (Abb. 5. arbeitet als Consultant und Trainer für Red Hat EMEA und ist auf den Bereich Security spezialisiert. ix-link ix0812appleappleapple x 6 ix 12/2008