saltstack的key认证过程

yum install https://repo.saltstack.com/yum/redhat/salt-repo-latest-1.el7.noarch.rpm

192.168.56.11

yum -y install salt-master salt-minion

192.168.56.12

yum -y install salt-minion

systemctl start salt-master

192.168.56.11(master+minion)

[root@cobbler-node1 ~]# vim /etc/salt/minion

16行 master: 192.168.56.11（最佳实践是写主机名，前提是内网有DNS解析）

103行 #id:

这个id我们可以不改，这个是saltstack中的一个设备的标识符，不改它的话默认

会以hostname的值为id，主机名的全称。FQDN名称

修改完上述的master以后，然后在192.168.56.12（minion）上同样修改minion配置文件。操作和master的一样，修改完成以后在两台设备上启动minion

systemctl start salt-minion

启动minion后我们会在/etc/salt下发现多了个minion_id

[root@cobbler-node1 ~]# cat /etc/salt/minion_id

cobbler-node1

#通过cat查看发现这里面内容就是我们的hostname

systemctl restart salt-minion

[root@zabbix-agent salt]# tree pki

pki

└── minion

    ├── minion.pem

    └── minion.pub

其中：

minion.pem 私钥

minion.pub 公钥

systemctl start salt-master

[root@zabbix-server salt]# pwd

/etc/salt

[root@zabbix-server salt]# tree ./pki

./pki

├── master

│   ├── master.pem       ##master的私钥

│   ├── master.pub       ##master的公钥

│   ├── minions

│   ├── minions_autosign

│   ├── minions_denied

│   ├── minions_pre          ##minion发过来的公钥放在pre目录下，目前还没有被master管理

│   │   ├── zabbix-agent    ##文件名是使用ID来做为名称的，所以生成的id是不能改的。

│   │   └── zabbix-server

│   └── minions_rejected

└── minion

    ├── minion.pem

    └── minion.pub

[root@zabbix-server salt]# salt-key

Accepted Keys:

Denied Keys:

Unaccepted Keys:

zabbix-agent

zabbix-server

Rejected Keys:

[root@zabbix-server salt]# salt-key -a zabbix-agent

The following keys are going to be accepted:

Unaccepted Keys:

zabbix-agent

Proceed? [n/Y] y

Key for minion zabbix-agent accepted.

我们可以使用-a参数加上minion_id的形式添加key。

[root@zabbix-server salt]# salt-key -a zabbix-*

The following keys are going to be accepted:

Unaccepted Keys:

zabbix-server

Proceed? [n/Y] y

Key for minion zabbix-server accepted.

同样我们还可以使用通配符的形式

[root@zabbix-server salt]# salt-key

Accepted Keys:

zabbix-agent

zabbix-server

Denied Keys:

Unaccepted Keys:

Rejected Keys:

然后我们再查看key的接受情况。

接下来查看一下salt-key的帮助参数：

-l                     显示指定状态的key，支持正则表达式

-L,--list-all          显示所有公钥

-a,ACCEPT              接受指定等待认证的key，支持正则

-A,--accept-all        接受所有等待认证的key

-r REJECT              拒绝等待认证的key，支持正则

-R REJECT-all          拒绝所有等待认证的key

--include-all          显示所有状态的key，包括non-pending状态

-p PRINT               打印指定的公钥，-P打印所有的公钥

-d DELETE              删除指定的key

-D --delete-all        删除所有的key

-f FINGER              显示指定key的指纹信息

-F --finger-all        显示所有key的指定信息

当我们接受完公钥以后我们来再来查看一下：

[root@zabbix-server ~]# tree /etc/salt/pki/

/etc/salt/pki/

├── master

│   ├── master.pem

│   ├── master.pub

│   ├── minions

│   │   ├── zabbix-agent

│   │   └── zabbix-server

│   ├── minions_autosign

│   ├── minions_denied

│   ├── minions_pre

│   └── minions_rejected

└── minion

    ├── minion_master.pub

    ├── minion.pem

    └── minion.pub

7 directories, 7 files

可以发现被认证的key从pre移动到了minions文件夹中。同时minion端：

[root@zabbix-agent ~]# tree /etc/salt/pki

/etc/salt/pki

└── minion

    ├── minion_master.pub

    ├── minion.pem

    └── minion.pub

1 directory, 3 files

minion端也收到了master端发来的公钥，名称做了一下修改，我们可以通过md5来确认一下是不是同一个文件：

[root@zabbix-server ~]# md5sum /etc/salt/pki/master/master.pub

24ca638333e27cfead75343d9b761ee4  /etc/salt/pki/master/master.pub

[root@zabbix-agent ~]# md5sum /etc/salt/pki/minion/minion_master.pub

24ca638333e27cfead75343d9b761ee4  /etc/salt/pki/minion/minion_master.pub

[root@zabbix-server salt]# salt "zabbix-agent" test.ping

zabbix-agent:

    True

[root@zabbix-server salt]# salt "zabbix-*" test.ping

zabbix-agent:

    True

zabbix-server:

    True

[root@zabbix-server salt]# salt "zabbix-agent" cmd.run 'w'

zabbix-agent:

     16:39:41 up 10:34,  1 user,  load average: 0.16, 0.06, 0.06

    USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT

    root     pts/1    192.168.56.1     09:22   29:33  51.41s  0.49s -bash