一、SaltStack的介绍

1.1 saltstack简介：

       saltstack是基于python开发的一套C/S架构配置管理工具，它的底层使用ZeroMQ消息队列pub/sub方式通信，使用SSL证书签发的方式进行认证管理。ZeroMQ使SaltStack能快速在成千上万台机器上进行各种操作，之前已经介绍过了puppet mco的框架，比较类似。而且采用RSA Key方式确认身份，传输采用AES加密，使传输的安全性得到保障。

       saltstack是基于C/S架构的服务模式，服务器端叫做Master，客户端叫作Minion，并且有消息队列中的发布与订阅（pub/sub）服务模式,minion与master之间通过ZeroMQ消息队列通信。Master和Minion端都以守护进程的模式运行，一直监听配置文件里面定义的ret_port也就是4506端口（接收minion请求）和publish_port也就是4505端口（ZMQ的发布消息）。当minion运行时会自动连接到配置文件里面定义的Master地址ret_port端口进行连接认证。

如下图（salt-master端的4505和4506端口，被两个客户端（192.168.1.102,192.168.1.104）所连接。）：

1.2 salt的具体步骤如下：

第一步：salt stack的master与minion之间通过ZeroMq进行消息传递，使用了ZeroMq的发布-订阅模式，连接方式包括tcp，ipc。
第二步：salt命令，以ls查看为例，将cmd.run ls命令从salt.client.LocalClient.cmd_cli发布到master，获取一个Jobid，根据jobid获取命令执行结果。
第三步：master接收到命令后，将要执行的命令发送给客户端minion。
第四步：minion从消息总线上接收到要处理的命令，交给minion._handle_aes处理。
第五步：minion._handle_aes发起一个本地线程调用cmdmod执行ls命令。线程执行完ls后，调用minion._return_pub方法，将执行结果通过消息总线返回给master。
第六步：master接收到客户端返回的结果，调用master._handle_aes方法，将结果写的文件中。
第七步：salt.client.LocalClient.cmd_cli通过轮询获取Job执行结果，将结果输出到终端。

二、SaltStack安装

1.1 saltstack软件依赖

saltstack对于python版本和python模块有一定的要求。

1.2  saltstack的安装（有很多种安装方式，我这里只介绍yum安装）

官网地址：https://docs.saltstack.com

Centos服务器安装地址：https://repo.saltstack.com/#rhel

第一步：指定官网yum源：

如果是Centos7系统： yum install https://repo.saltstack.com/yum/redhat/salt-repo-latest-1.el7.noarch.rpm

如果是Centos6系统： yum install https://repo.saltstack.com/yum/redhat/salt-repo-latest-1.el6.noarch.rpm

或者直接编写一个源文件：

# cat /etc/yum.repos.d/salt-latest.repo
[salt-latest]
name=SaltStack Latest Release Channel for RHEL/Centos $releasever
baseurl=https://repo.saltstack.com/yum/redhat/$releasever/$basearch/latest
failovermethod=priority
enabled=1
gpgcheck=1
gpgkey=https://repo.saltstack.com/yum/redhat/$releasever/$basearch/latest/SALTSTACK-GPG-KEY.pub

第二步：master端的安装：

#yum install salt-master -y
#yum install salt-minion -y
#yum install salt-ssh -y
#yum install salt-syndic -y
#yum install salt-cloud -y
#yum install salt-api  -y

第三步：minion的安装

#yum install salt-minion -y

1.3 master端的操作

这里先保持默认配置直接启动服务，后面再涉及到配置文件的修改。

# service salt-master restart

1.4 客户端的操作：

# cat /etc/salt/minion  #修改配置文件（注意每个冒号后面都要跟一个空格，这是书写规范）

master: 192.168.1.101   #这里要指向salt-master服务器，可以是IP，也可以是域名，也可以是主机名，不过主机名就要写/etc/hosts了，如果用的是内部DNS服务器的话可以用主机名或者域名的形式。
id: zwidc_kvm_192.168.1.104  #这里定义后，master认证证书那里就以这个名称为主，默认这里是注释状态。个人比较偏向这里设置，因为机器众多外加主机业务的变化，我想这里的标识可以在初始化机器的时候就设置好而不受主机名以及主机名变化的影响，因为一般IP和机器类型和机器所在的机房是很难变化的，所以这里不设置的那么细化，方便管理工具的部署和管理。

注（这里有一个坑）：

#上面这个图不陌生，这是编写puppet的时候的主机名，现在要搞salt环境了，我的主机名已经变成agent2.salt之类了，为啥master端那边收到的证书请求，还是旧主机名的形式呢，而且重启服务机器都没用。

这是因为你再没有设置id:这个唯一标识的情况下，默认用的就是主机名作为id的值，但是呢，你是先启动了minion服务，后改的主机名，这时候你不管怎么重启minion的服务都木有用了，这是因为一个文件。

是因为你启动minion服务后，会产生/etc/salt/minion_id ，而这个文件里面的内容不会因为你主机名的改变、服务的重启、机器的重启而改变，所以如果你的主机名发送了变化，想让master端那里的证书认证名称也跟着发送变化的话，就要删除/etc/salt/minion_id文件或者清空/etc/salt/minion_id文件里面的内容，然后重启minion服务。

#关于主机名的设置，个人的习惯是：ydidc-server-web-101-223-200-2.douyu,  ydidc-docker-cache-101-223-200-3.douwan,类似于这种机房名称、主机类型是服务器还是虚拟机、机器业务类型、IP地址、公司域名后缀的形式。不建议用业务后面跟编号的形式，因为你加了编号，就有了顺序，但是机器所负责的业务可能要更换，机器可能要撤掉，那么你的编号就是不连贯乱的，但是IP具有唯一性，不会出现因为机器下架业务调整主机名变更造成看着不连贯很乱的现象，如果一个机房没有多网段可以直接后一位或者后两位。

#id: zwidc_kvm_192.168.1.104  #注意冒号后面要空一格，不然启动minion报错：ERROR: Unable to look-up config values for /etc/salt

# service salt-minion restart  #设置完毕后重启minion服务

博文来自：www.51niux.com

1.5 master服务端的设置

# salt-key -L #查看当前证书的签证情况（如果我们客户端的证书在未验证Unaccepted Keys: 的下面。）

Unaccepted Keys:

zwidc_kvm_192.168.1.104

# salt-key -a zwidc_kvm_192.168.1.104  -y  #通过此证书的验证

# salt-key -L  #再次查看（发现出现在了Accepted Keys:下面表示已经通过了验证，可以建立通信了）

#通过端口查看，返现有一台机器与master端的端口建立了连接。

注：

master 秘钥对默认存储在/etc/salt/pki/master/master.pub  /etc/salt/pki/master/master.pem
master 端认证的公钥存储在：/etc/salt/pki/master/minions/
minion 秘钥对默认存储在/etc/salt/pki/minion/minion.pub  /etc/salt/pki/minion/minion.pem
minion 存放的master公钥/etc/salt/pki/minion/minion_master.pub
minion_id 默认存储在/etc/salt/minion_id

1.6 master服务端的测试

# salt 'zwidc_kvm_192.168.1.104' test.ping  #测试服务器端是否能控制客户端。

# salt 'zwidc_kvm_192.168.1.104' cmd.run "hostname"   #让客户端执行一个命令。

#如果是上图的测试结果，说明测试成功。

三、SaltStack命令详解

3.1 salt命令详解

# man salt 或者 # salt -h 都可以查看salt命令使用方法：

# salt -h
Usage: salt [options] '<target>' <function> [arguments]

Options(选项):

      --version ： 查看saltstack软件的版本号。

      --versions-report ： 查看saltstack软件以及依赖包的版本号。

      -h, --help ： 查看帮助信息。

      --saltfile=SALTFILE：指定saltfile的路径。 如果没有通过，将在当前工作目录中搜索一个。

      -c CONFIG_DIR, --config-dir=CONFIG_DIR：指定配置文件的目录（默认是/etc/salt/）。

      -t TIMEOUT, --timeout=TIMEOUT：指定超时时间默认是5秒。

      --hard-crash：捕捉到original异常不退出默认关闭。

      -s, --static：以组的形式返回所有minion的数据。

      -p, --progress：显示进度图，需要progressbar的python包。

      --failhard ：在第一个执行错误返回之后停止批处理。

      --async : 异步执行。

      --subset=SUBSET : 对目标minions的随机子集执行程序. minions在执行前会先验证是否存在该命名的函数，再去执行

      -v, --verbose : 打开命令详细，显示jid和活动的工作查询

      --hide-timeout : 隐藏超时时间。

      --show-jid : 显示任务的jid。

      -b BATCH, --batch=BATCH, --batch-size=BATC : 按照百分比执行任务。

      -a EAUTH, --auth=EAUTH, --eauth=EAUTH, --external-auth=EAUTH : 指定外部认证方式。

      -T, --make-token : 生成master token.

      --return=RETURNER : 设置一种替代方法。 默认情况下，salt将从命令将返回数据发送回主服务器，但返回数据可以重定向到任意数量的系统，数据库或应用程序。

      --return_config=RETURNER_CONF : 指定命令返回的设置文件。

      -d, --doc, --documentation : 查看指定模式或所有模块文档。

      --args-separator=ARGS_SEPARATOR :   指定发送命令跟命令参数的分隔符，当用户想把一个命令当作参数发送给另一个命令执行时。

      --summary :  显示汇总信息。

      --username=USERNAME : 指定外部认证的用户名。

      --password=PASSWORD :  指定外部认证的密码。

      --metadata=METADATA :  将元数据传递给Salt，用于搜索作业。

Logging Options（日志相关参数）:

      -l LOG_LEVEL, --log-level=LOG_LEVEL : 指定日志级别。

      --log-file=LOG_FILE : 指定日志记录文件

      --log-file-level=LOG_LEVEL_LOGFILE : 日志文件日志记录级别。'all', 'garbage', 'trace', 'debug', 'info', 'warning', 'error','critical', 'quiet'. 默认: 'warning'.

Target Options（目标选择选项）:

      -E, --pcre ： 正则匹配

      -L, --list：  列表匹配，目标表达式将被解释为以逗号分隔的列表。

      -G, --grain：  grains匹配。

      --grain-pcre ：grains加正则匹配。

      -N, --nodegroup：组匹配。

      -R, --range：范围匹配。

      -C, --compound : 综合匹配（指定多个匹配，空格隔开）。

      -I, --pillar : pillar值匹配。

      -J, --pillar-pcre : pillar加正则匹配。

      -S, --ipcidr : minions网段地址匹配。

Output Options（输出参数）:
      --out=OUTPUT, --output=OUTPUT : 使用指定的输出器从'salt'命令打印输出。 内置的是 'key', 'yaml',  'overstatestage', 'newline_values_only', 'pprint',  'txt', 'raw', 'virt_query', 'compact', 'json', 'highstate', 'nested', 'quiet', 'no_return'.

      --out-indent=OUTPUT_INDENT, --output-indent=OUTPUT_INDENT :   在空格中打印由提供的值缩进的输出。 负值禁用缩进。 仅适用于支持缩进的输出器。

      --out-file=OUTPUT_FILE, --output-file=OUTPUT_FILE : 输出到指定文件。

      --out-file-append, --output-file-append :  输出附加到指定的文件。

      --no-color, --no-colour :  关闭所有的颜色显示。

      --force-color, --force-colour : 强制输出颜色显示。

      --state-output=STATE_OUTPUT, --state_output=STATE_OUTPUT : 覆盖配置的state_output值输出，指定state格式(full, terse, mixed, changes or filter)输出，默认值是full。

3.2 salt-key命令详解

# salt-key -h

Actions:
     -l ARG, --list=ARG：显示指定状态的key（支持正则表达式）

     -L, --list-all ：列出所有公钥。"--list all"已经弃用。

     -a ACCEPT, --accept=ACCEPT： 接受指定的公钥（除了挂起的密钥之外，使用--include-all匹配拒绝的密钥）,支持正则表达式。

     -A, --accept-all ：接收所有等待认证的key。

     -r REJECT, --reject=REJECT ：拒绝指定等待认证的key（支持正则表达式）

     -R, --reject-all：拒绝所有等待认证的key。

     --include-all： 显示所有状态的key。

     -p PRINT, --print=PRINT ：打印指定的公钥支持正则表达式。

     -P, --print-all：打印所有的公钥。

     -d DELETE, --delete=DELET：删除指定的key。

     -D, --delete-all：删除所有的key。

     -F, --finger-all：显示所有key的指纹信息。

3.3 客户端的salt-call（就相当于要把远程执行的命令，换到客户端本地自己本地执行了。）

salt-call命令的output和log相关参数与salt命令一样，就不记录了，对一些不同的参数做下记录。

# salt-call -h

Usage: salt-call [options] <function> [arguments]
Options:

     --version：  查看saltstack程序的版本号。

     --versions-report： 查看saltstack程序以及依赖包的版本号。

     -h, --help：查看帮助信息。

     --saltfile=SALTFILE： 指定配置文件。

     -c CONFIG_DIR, --config-dir=CONFIG_DIR：指定配置文件目录（默认是/etc/salt/）

     --hard-crash： 捕捉到original异常不退出（默认关闭）。

     -g, --grains： 返回的信息生成grains。

     -m MODULE_DIRS, --module-dirs=MODULE_DIRS： 指定自定义模块目录。

     -d, --doc, --documentation： 查看指定模块或者所有模块文档。

     --master=MASTER： 指定saltstack master。如果省略此选项，将使用minion config中的主选项。如果设置了多主机，则首先列出的主机将被使用。

     --return=RETURNER：设置salt-call将返回数据传递给一个或多个returner接口。

     --local：在本地运行salt-call，默认也是在本地运行。

     --file-root=FILE_ROOT：指定fire基础根目录。

     --pillar-root=PILLAR_ROOT： 指定pillar基础根目录。

     --retcode-passthrough：显示salt-call命令返回状态。

     --metadata ：打印执行元数据以及返回。 这将打印输出器数据，返回码等。

     --id=ID：指定一个minion ID.

     --skip-grains：不加载grains信息。

     --refresh-grains-cache：强制刷新grains信息。

     -t AUTH_TIMEOUT, --timeout=AUTH_TIMEOUT：更改运行命令的超时时间，默认 60秒。

 博文来自：www.51niux.com

3.4 还需重点掌握住的命令

上面说到的test.ping和cmd.run 都是内置的用法，其实也就是python自带的模块功能，那么如何知道我们现在的salt可以使用哪些方法呢？

# salt '*' -d|grep :\'|more   #就可以以列表的形式查看所有可以使用的内置方法。为啥要加过滤呢，因为方法下面还有对应的举例。

# salt 'agent1.salt' sys.list_functions  #上面的方法还是比较粗糙，如果你已经知道了用法，可以用sys.list_functions将所有我们可以使用的函数列出来，当然就指定一个节点就可以了，指定'*'显示结果也是重复。
我现在已经把所有的可以用的模块的函数都查出来了，如果我只想看某个模块所拥有的函数方法呢？

# salt 'agent1.salt' sys.list_functions test  #如我可以查看test模块有哪些函数方法可以用。

如果我想查看某个模块，或者某个模块里面某个函数的用法呢？

# salt 'agent1.salt' sys.doc test  #查看test所有的方法及用法。

# salt 'agent1.salt' sys.doc test.ping  #test.ping具体用法查看。

四、SaltStack配置文件详解

4.1 master配置文件详解

saltstack大部分配置都已经指定了默认值，只需要根据实际需求进行修改就行。

# vim /etc/salt/master

博文来自：www.51niux.com

4.2 minion配置文件详解

# vim /etc/salt/minion