目錄

1 SSH批量分發管理

基於口令的，如何實現批量管理：expect、pssh、sshpass

期中架構分享

1.1 測試環境

m01（Server）

eth0:192.168.90.61/24
eth1:172.16.1.61/24

nfs01（Client）

eth0:192.168.90.31/24
eth1:172.16.1.31/24

backup（Client）

eth0:192.168.90.41/24
eth1:172.16.1.41/24

web01（Client）

eth0:192.168.90.8/24
eth1:172.16.1.8/24

1.2 批量管理步驟

1、建立使用者及密碼

2、m01建立金鑰對

3、m01分發公鑰

預設22埠可以不指定埠

若更改過的埠，需要指定-p埠

4、測試

測試成功的話連線後就不用密碼了

[[email protected] ~]# useradd oldgirl
[[email protected] ~]# echo 123456|passwd --stdin oldgirl
更改使用者 oldgirl 的密碼 。
passwd： 所有的身份驗證令牌已經成功更新。
[[email protected]
 
 ~]# id oldgirl
uid=501(oldgirl) gid=501(oldgirl) 組=501(oldgirl)
[[email protected] ~]# su - oldgirl
[[email protected] ~]$ ssh-keygen -t dsa
Generating public/private dsa key pair.
Enter file in which to save the key (/home/oldgirl/.ssh/id_dsa): 
Created directory '/home/oldgirl/.ssh'.
Enter passphrase (empty for
 
 no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /home/oldgirl/.ssh/id_dsa.
Your public key has been saved in /home/oldgirl/.ssh/id_dsa.pub.
The key fingerprint is:
bf:44:68:f3:eb:6b:03:28:45:21:24:fb:dd:e9:b0:cf [email protected]
The key's randomart image is:
+--[ DSA 1024]----+
|  ..o ..         |
|   o ..          |
|  .  .           |
|   . ... o       |
|    ..o.S .      |
|    . .=.=       |
|     .. ..+      |
|       o .oo     |
|        Eo=o     |
+-----------------+
[[email protected] ~]$ ll .ssh/
總用量 8
-rw------- 1 oldgirl oldgirl 668 2月  10 19:36 id_dsa        #鑰匙
-rw-r--r-- 1 oldgirl oldgirl 601 2月  10 19:36 id_dsa.pub        #鎖
#非互動式建立金鑰
1、ssh-keygen -t dsa -P '' -f ~/.ssh/id_dsa >/dev/null 2>&1
2、echo -e "\n" | ssh-keygen -t dsa -N ""
#傳送公鑰（下面這個只能傳送公鑰）
沒改埠：ssh-copy-id -i .ssh/id_dsa.pub [email protected]
改埠：ssh-copy-id -i .ssh/id_dsa.pub "-p 52113 [email protected]"
#測試
[[email protected] ~]$ ssh -p 52113 [email protected]172.16.1.31 /sbin/ifconfig eth0
[[email protected] ~]$ ssh [email protected]172.16.1.8 /sbin/ifconfig eth0
[[email protected] ~]$ ssh [email protected]172.16.1.41 /sbin/ifconfig eth0
#若要批量檢視每個系統的版本，可以直接寫成指令碼，把上面的三條命令都寫成指令碼然後執行。
vi ssh.sh
ssh -p 52113 [email protected]172.16.1.31 /sbin/ifconfig eth0
ssh [email protected]172.16.1.8 /sbin/ifconfig eth0
ssh [email protected]172.16.1.41 /sbin/ifconfig eth0

1.3 批量分發管理例項

例：把所有伺服器上的hosts解析檔案給更新一遍，hosts檔案內容如下

cat /etc/hosts
127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
::1         localhost localhost.localdomain localhost6 localhost6.localdomain6
172.16.1.5      lb01
172.16.1.6      lb02
172.16.1.7      web01
172.16.1.8      web02
172.16.1.51     db01 db01.etiantian.org
172.16.1.31     nfs01
172.16.1.41     backup
172.16.1.61     m01

企業裡實現ssh的3種方案：

1、直接root ssh key。

條件：允許root ssh登入

2、利用sudo提權來實現沒有許可權的使用者拷貝

3、利用suid來實現沒有許可權的使用者拷貝（工作中不建議使用suid）

曲線救國的方式，可以先用scp把hosts檔案拷貝到對方主機的家目錄下，然後再給rsync或其它拷貝命令授權以suid（chmod u+s `which rsync`）。之後再用ssh連線執行遠端拷貝功能（前提是rsync已經被授權suid）操作命令如下：

ssh -p 52113 hosts oldgirl@172.16.1.31:~
ssh -p 52113 oldgirl@172.16.1.31 /usr/bin/rsync ~/hosts /etc/hosts

1.3.1 利用sudo提權來實現沒有許可權的使用者拷貝

指定一個使用者，讓他可以執行某個命令：

visudo
oldgirl ALL=(ALL) NOPASSWD:/usr/bin/rsync

自動化管理

echo "oldgirl   ALL=(ALL) NOPASSWD:/usr/bin/rsync" >>/etc/sudoers
visudo -c

實現遠端sudo

兩種方法：
第一種：註釋掉/etc/sudoers檔案中的Defaults requiretty
第二種（推薦）：ssh 加-t選項，在執行遠端ssh時可以開啟終端，然後就可以sudo用了。

scp -P52113 hosts oldgirl@172.16.1.31:~
ssh -p52113 -t oldgirl@172.16.1.31 sudo /usr/bin/rsync ~/hosts /etc/hosts

1.3.2 利用sudo提權開發管理指令碼

[oldgirl@m01 ~]$ cat fenfa_file.sh 
scp -P52113 hosts oldgirl@172.16.1.31:~
ssh -p52113 -t oldgirl@172.16.1.31 sudo /usr/bin/rsync ~/hosts /etc/hosts
scp hosts oldgirl@172.16.1.41:~
ssh -t oldgirl@172.16.1.41 sudo /usr/bin/rsync ~/hosts /etc/hosts
scp  hosts oldgirl@172.16.1.8:~
ssh -t oldgirl@172.16.1.8 sudo /usr/bin/rsync ~/hosts /etc/hosts

1.3.3 利用rsync來實現增量備份

rsync -avz hosts -e 'ssh -p 52113' oldgirl@172.16.1.31:~

#這樣的方法有兩種好處

1、增量
2、加密

工作中的跳板機（堡壘機）一定要保護的很安全，就是批量管理的機器

1、防火牆

2、監聽內網

3、不給外網IP

4、ssh防護好，禁止root登入

1.4 SSH批量管理分發指令碼實戰

所有伺服器端ssh埠最好都一致

#一個簡單的可以讓所有伺服器執行命令的指令碼
[[email protected] scripts]$ cat ssh_view.sh 
#!/bin/bash
. /etc/init.d/functions

export PATH=/usr/local/bin:/bin:/usr/bin:/usr/local/sbin:/usr/sbin:/sbin:/home/oldgirl/bin

if [ $# -ne 1 ];then
    echo "USAGE:$0 ARG"
    exit 1
fi

#由於我的埠沒有一致，故只測試31這一個改過埠的伺服器
for n in 31
do
    echo =============172.16.1.$n=============
    ssh -p52113 [email protected]172.16.1.$n "$1"
done
#######測試
[[email protected] scripts]$ bash ssh_view.sh "cat /etc/redhat-release"
=============172.16.1.31=============
CentOS release 6.9 (Final)
[[email protected] scripts]$ bash ssh_view.sh "tail -1 /etc/inittab"
=============172.16.1.31=============
id:3:initdefault:
#可以批量管理伺服器的拷貝檔案的指令碼
[[email protected] scripts]$ cat fenfa_file1.sh 
#!/bin/bash
. /etc/init.d/functions
if [ $# -ne 2 ];then
    echo "USAGE:$0 ARG1 ARG2"
    exit 1
fi

for n in 8 41 31
do
  scp ~/$1 [email protected]172.16.1.${n}:~ >/dev/null 2>&1 &&\
  #備份，可以不做
#ssh -t [email protected]${n} sudo /usr/bin/rsync /etc/hosts /etc/hosts_$(date +%F-%H:%M:%S)
  ssh -t [email protected]172.16.1.${n} sudo /usr/bin/rsync ~/$1 $2 >/dev/null 2>&1
  if [ $? -eq 0 ];then
    action "fenfa hosts 172.16.1.$n" /bin/true
  else
    action "fenfa hosts 172.16.$n" /bin/false
  fi
done

1.5 SSH批量管理總結

1、利用root做ssh key驗證。

優點：簡單，易用

缺點：安全差，同時無法禁止root遠端連線這個功能

企業應用：80%的中小企業。

2、利用普通使用者如oldgirl來做

思路是先把分發的檔案拷貝到伺服器使用者家目錄，然後sudo提權拷貝分發的檔案到遠端伺服器的對應許可權目錄。

優點：安全。無需停止root遠端連線這個功能。

缺點：配置比較複雜。

3、拓展：同方案2，只是不用sudo，而是設定suid對固定命令提權。

優點：相對安全

缺點：負載，安全性較差。任何人都可以處理帶有suid許可權的命令。

建議：

1. 追求簡單可以選1

2. 追求安全建議選2

3. 有能力可以用puppet、saltstack。

4. suid：普通使用者裕興程式，沒有許可權時也可以suid，然後執行，必須是編譯好的程式命令。

puppet：早起大網站使用的

saltstack（*）：可以裝客戶端

ansible（*）：優點：不用裝客戶端，直接ssh就可以

4、企業級生產場景批量管理，自動化管理方案：

1）最簡單常用ssh key，功能最強大的。一般中小型企業會用，50-100臺以下。

2）sina cfengine、puppet 較早的批量管理工具。現在基本上沒有企業用。

3）門戶級別比較流行的，puppet批量管理工具，複雜，笨重。

4）saltstack批量管理工具，特點：簡單，功能強大（配置複雜），趕集網、小米等一些CDN公司會使用

5）http+cron

批量管理路線：ssh key–>cfengine–>puppet–>saltstack/ansible

輕鬆實現遠端批量拷貝檔案指令碼部落格：

SSH連線慢的解決：

2 非互動式expect

非互動式工具：expect（一門語言）、sshpass、pssh

expect：預設沒有安裝，需要先安裝再使用

[root@m01 ~]# yum install expect -y
[root@m01 ~]# rpm -qa expect
expect-5.44.1.15-5.el6_4.x86_64
#裝完expect後會附帶一個隨機密碼生成工具mkpasswd
[root@m01 ~]# mkpasswd 
tnhu1LM9$
[root@m01 ~]# mkpasswd 
Y1]taHax9
[root@m01 ~]# mkpasswd -l 10   #-l 指定隨機密碼長度
GSg[yeyv10
[root@m01 ~]# mkpasswd -l 15
nb/Wayrtj9ww0vE

2.1 非互動式生成金鑰及實現批量管理

1、所有機器建立使用者及密碼
useradd oldgirl888
echo 123456|passwd --stdin oldgirl
id oldgirl888
su - oldgirl888
2、管理機建立金鑰
ssh-keygen -t dsa -P '' -f ~/.ssh/id_dsa >/dev/null 2>&1
3、自動分發金鑰
vim fenfa_sshkey.exp
#!/usr/bin/expect
#

if { $argc != 2 } {
  send_user "Usage: expect fenfa_sshkey.exp file host \n"
  exit
}

#define var
set file [lindex $argv 0]
set host [lindex $argv 1]
set password "123456"

spawn ssh-copy-id -i $file [email protected]$host
expect {
    "yes/no"    {send "yes\r";exp_continue}
    "*password" {send "$password\r"}
}
expect eof

exit -onexit {
  send_user "Oldboy say goodbye to you!\n"
}
[[email protected] scripts]$ expect fenfa_sshkey.exp ../.ssh/id_dsa.pub 172.16.1.41

一個指令碼都分發：

cat /server/scripts/fenfa_sshkey.sh
#!/bin/bash
#
. /etc/init.d/functions

for i in 128 129
do 
  expect fenfa_sshkey.exp ~/.ssh/id_dsa.pub 192.168.90.$i >/dev/null 2>&1
  if [ $? -eq 0 ]
  then
    action "$i" /bin/true
  else
    action "$i" /bin/false
  fi
done

2.2 一鍵批量安裝httpd服務

1、準備工作：
useradd oldboy
echo 123456|passwd --stdin oldboy
id oldboy
2、sudo提權實現沒有許可權使用者拷貝
配置sudoers：
echo "oldboy ALL=(ALL) NOPASSWD: ALL" >>/etc/sudoers
visudo -c
su - oldboy

自動分發指令碼
[[email protected] scripts]$ cat sshkey_install.sh 
#!/bin/bash
#
. /etc/init.d/functions

export PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/root/bin

# Product key pair
ssh-keygen -t dsa -P '' -f ~/.ssh/id_dsa > /dev/null 2>&1
  if [ $? -eq 0 ];then
    action "Create dsa $ip" /bin/true
  else
    action "Create dsa $ip" /bin/false
    exit 1
  fi

#dis pub key
for i in 128 129
do 
  expect ~/scripts/fenfa_sshkey.exp ~/.ssh/id_dsa.pub 192.168.90.$i >/dev/null 2>&1
  if [ $? -eq 0 ];then
    action "$i" /bin/true
  else
    action "$i" /bin/false
  fi
done

#dis fenfa scripts
for n in 128 129
do
  scp -rp ~/scripts ol[email protected]192.168.90.$n:~
done

#install service
for m in 128 129
do
  ssh -t [email protected]192.168.90.$m sudo /bin/bash ~/scripts/install.sh
done

cat /scripts/install.sh
yum install httpd -y

2.3 一鍵自動化50臺規模叢集網站

思路：
自動化的基礎：

a．搭建yum倉庫
b．定製rpm包

1、ssh key + expect

a．kickstart無人值守安裝Linux系統（自動建立使用者、密碼、優化）
b．分發機上建立金鑰對、批量發走公鑰（expect）
c．寫安裝優化指令碼、批量發到各個伺服器上，遠端執行安裝

2、高階架構師知識搞定的一套叢集方案

a．cobbler無人值守安裝Linux系統（自動建立使用者、密碼、優化、salt客戶端）
b．服務端salt上，建立認證，寫配置來批量安裝管理各個節點伺服器應用。

3、高階架構師知識搞定的一套叢集方案

a．kvm虛擬化、根據不同的業務提前做好映象
b．通過與計算工具OpenStack管理映象，批量生成五個虛擬機器
c．服務端salt上，建立認證，寫配置來批量安裝管理各個節點伺服器應用。

4、docker