Konfigurasikan Server Chef Menggunakan Starter Kit

Saat pembuatan server masih berlangsung, unduh kredensi masuk untuk server Chef, dan simpan di lokasi yang aman namun nyaman.

Unduh Starter Kit, dan unzip file Starter Kit .zip ke direktori ruang kerja Anda. Jangan bagikan kunci pribadi Starter Kit. Jika pengguna lain akan mengelola server Chef, tambahkan mereka sebagai administrator di dasbor Chef Automate nanti.

Unduh dan instal Chef Workstation (sebelumnya dikenal sebagai Chef Development Kit, atau Chef DK) di komputer yang akan Anda gunakan untuk mengelola server dan node Chef Anda. knifeUtilitas adalah bagian dari Chef Workstation. Untuk petunjuk, lihat Menginstal Chef Workstation di situs web Chef.

Buat direktori di komputer lokal Anda untuk menyimpan buku masak, sepertichef-repo. Setelah Anda menambahkan buku masak, peran, dan file lain ke repositori ini, kami sarankan Anda mengunggah atau menyimpannya dalam sistem yang aman dan berversi, seperti, CodeCommit Git, atau Amazon S3.

Di chef-repo direktori, buat direktori berikut:

Lihat Policyfile.rb di Starter Kit Anda. Secara default, Policyfile.rb sertakan buku masak opsworks-webserver pembungkus, yang tergantung pada nginxbuku masak yang tersedia di situs web Chef Supermarket. nginxBuku masak menginstal dan mengkonfigurasi server web pada node terkelola. chef-clientBuku masak yang diperlukan, yang menginstal agen klien Chef Infra pada node terkelola, juga ditentukan.

Policyfile.rbjuga menunjuk ke buku masak Chef Audit opsional, yang dapat Anda gunakan untuk mengatur pemindaian kepatuhan pada node. Untuk informasi selengkapnya tentang menyiapkan pemindaian kepatuhan dan mendapatkan hasil kepatuhan untuk node terkelola, lihatPemindaian Kepatuhan di AWS OpsWorks for Chef Automate. Jika Anda tidak ingin mengonfigurasi pemindaian kepatuhan dan audit sekarang, hapus 'audit' dari run_list bagian, dan jangan tentukan atribut audit buku masak di akhir file.

# Policyfile.rb - Describe how you want Chef to build your system.
#                 
# For more information about the Policyfile feature, visit                                             
# https://docs.chef.io/policyfile.html                                                                 

# A name that describes what the system you're building with Chef does.                                
name 'opsworks-demo-webserver'

# The cookbooks directory is the preferred source for external cookbooks                               
default_source :chef_repo, "cookbooks/" do |s|                                                         
  s.preferred_for "nginx", "windows", "chef-client", "yum-epel", "seven_zip",  
                  "build-essential", "mingw", "ohai", "audit", "logrotate", "cron"                     
end
# Alternative source 
default_source :supermarket                                                                            

# run_list: chef-client runs these recipes in the order specified.                                 
run_list  'chef-client',
          'opsworks-webserver',
          'audit'
# add 'ssh-hardening' to your runlist to fix compliance issues detected by the ssh-baseline profile    

# Specify a custom source for a single cookbook:                                                       
cookbook 'opsworks-webserver', path: 'cookbooks/opsworks-webserver'                               

# Policyfile defined attributes

# Define audit cookbook attributes
default["opsworks-demo"]["audit"]["reporter"] = "chef-server-automate"
default["opsworks-demo"]["audit"]["profiles"] = [
  {
    "name": "DevSec SSH Baseline",
    "compliance": "admin/ssh-baseline"
  }
]

Berikut ini adalah contoh Policyfile.rb tanpa audit buku masak dan atribut, jika Anda ingin mengkonfigurasi hanya server nginx web untuk saat ini.

# Policyfile.rb - Describe how you want Chef to build your system.
#
# For more information on the Policyfile feature, visit
# https://docs.chef.io/policyfile.html

# A name that describes what the system you're building with Chef does.
name 'opsworks-demo-webserver'

# Where to find external cookbooks:
default_source :supermarket

# run_list: chef-client will run these recipes in the order specified.
run_list  'chef-client',
          'opsworks-webserver'

# Specify a custom source for a single cookbook:
cookbook 'opsworks-webserver', path: 'cookbooks/opsworks-webserver'

Jika Anda membuat perubahanPolicyfile.rb, pastikan untuk menyimpan file.

Unduh dan instal buku masak yang ditentukan dalamPolicyfile.rb.

chef install

Semua buku masak diberi versi dalam file buku masak. metadata.rb Setiap kali Anda mengganti buku masak, Anda harus menaikkan versi buku masak yang ada di dalamnya. metadata.rb

Jika Anda memilih untuk mengonfigurasi pemindaian kepatuhan, dan menyimpan informasi audit buku masak di file kebijakan, dorong kebijakan tersebut opsworks-demo ke server Anda.

chef push opsworks-demo

Jika Anda menyelesaikan langkah 3, verifikasi pemasangan kebijakan Anda. Jalankan perintah berikut.

chef show-policy

Hasilnya harus menyerupai yang berikut:

opsworks-demo-webserver 
======================= 
* opsworks-demo:  ec0fe46314

Anda sekarang siap untuk menambahkan atau mem-bootstrap node ke server Chef Automate Anda. Anda dapat mengotomatiskan asosiasi node dengan mengikuti langkah-langkahTambahkan node secara otomatis di AWS OpsWorks for Chef Automate, atau menambahkan node satu per satu dengan mengikuti langkah-langkah dalamTambahkan node satu per satu.

Untuk memulai, tambahkan chef-client buku masak ke Berksfile yang disertakan. chef-clientBuku masak mengonfigurasi perangkat lunak agen klien Chef Infra pada setiap node yang Anda sambungkan ke server Chef Automate Anda. Untuk mempelajari lebih lanjut tentang buku masak ini, lihat Buku Masak Klien Chef di Supermarket Chef.

Menggunakan editor teks, tambahkan buku masak lain ke Berksfile Anda yang menginstal aplikasi server web; misalnya, apache2 buku masak, yang menginstal server web Apache. Berksfile Anda harus menyerupai yang berikut ini.

source 'https://supermarket.chef.io'
cookbook 'chef-client'
cookbook 'apache2'

Unduh dan instal buku masak di komputer lokal Anda.

berks install

Unggah buku masak ke server Chef.

Di Linux, jalankan yang berikut ini.

SSL_CERT_FILE='.chef/ca_certs/opsworks-cm-ca-2020-root.pem' berks upload

Di Windows, jalankan perintah Chef Workstation berikut dalam satu PowerShell sesi. Sebelum Anda menjalankan perintah, pastikan untuk mengatur kebijakan eksekusi PowerShell keRemoteSigned. Tambahkan chef shell-init untuk membuat perintah utilitas Chef Workstation tersedia untuk PowerShell.

$env:SSL_CERT_FILE="ca_certs\opsworks-cm-ca-2020-root.pem"
chef shell-init berks upload
Remove-Item Env:\SSL_CERT_FILE

Verifikasi pemasangan buku masak dengan menampilkan daftar buku masak yang saat ini tersedia di server Chef Automate. Anda dapat melakukan ini dengan menjalankan knife perintah berikut.

Anda siap menambahkan node untuk dikelola dengan AWS OpsWorks for Chef Automate server.

knife cookbook list

Jalankan perintah berikut.

knife ssl check

Jika hasilnya mirip dengan yang berikut ini, lewati sisa prosedur ini, dan lanjutkan keTambahkan Node untuk Server Chef untuk Dikelola.

Connecting to host my-chef-automate-server.my-corp.com:443
          Successfully verified certificates from 'my-chef-automate-server.my-corp.com'

Jika Anda mendapatkan pesan kesalahan yang mirip dengan berikut ini, lanjutkan ke langkah berikutnya.

Connecting to host my-chef-automate-server.my-corp.com:443
          ERROR: The SSL certificate of my-chef-automate-server.my-corp.com could not be verified.
          ...

Jalankan knife ssl fetch untuk mempercayai sertifikat AWS OpsWorks for Chef Automate server Anda. Atau, Anda dapat secara manual menyalin sertifikat berformat CA PEM root dari server Anda ke direktori yang merupakan nilai trusted_certs_dir dalam output dari. knife ssl check Secara default, direktori ini ada .chef/ca_certs/ di Starter Kit. Output Anda harus menyerupai yang berikut:

WARNING: Certificates from my-chef-automate-server.my-corp.com will be fetched and placed in your trusted_cert
          directory (/Users/username/starterkit/.chef/../.chef/ca_certs).
       
          Knife has no means to verify these are the correct certificates. You should
          verify the authenticity of these certificates after downloading.
       
          Adding certificate for my-chef-automate-server in /Users/users/starterkit/.chef/../.chef/ca_certs/servv-aqtswxu20swzkjgz.crt
          Adding certificate for MyCorp_Root_CA in /Users/users/starterkit/.chef/../.chef/ca_certs/MyCorp_Root_CA.crt

Jalankan lagi knife ssl check. Output Anda harus menyerupai yang berikut:

Connecting to host my-chef-automate-server.my-corp.com:443
          Successfully verified certificates from 'my-chef-automate-server.my-corp.com'

Anda siap digunakan knife dengan server Chef Automate Anda.