使用入門套件設定 Chef 伺服器

當伺服器建立仍在進行時，下載 Chef 伺服器的登入資料，並將其儲存在安全但方便的位置。

下載入門套件，並將入門套件 .zip 檔案解壓縮至您的工作空間目錄。請勿共享入門套件私有金鑰。如果其他使用者將要管理 Chef 伺服器，請稍後將其新增為 Chef Automate 儀表板的管理員。

在您將用來管理 Chef 伺服器和節點的電腦上下載並安裝 Chef Workstation （先前稱為 Chef Development Kit 或 Chef DK)。knife 公用程式是 Chef Workstation 的一部分。如需說明，請參閱 Chef 網站上的安裝 Chef 工作站。

在您的本機電腦上建立用來存放技術指南的目錄，例如 chef-repo。將技術指南、角色和其他檔案新增至此儲存庫後，建議您將其上傳或存放在安全、版本控制的系統中，例如 CodeCommit、Git 或 Amazon S3。

在 chef-repo 目錄中，建立以下目錄：

在您的入門套件中查看 Policyfile.rb。在預設情況下， Policyfile.rb 包含 opsworks-webserver 包裝函式技術指南，實際內容會依 Chef Supermarket 網站所提供 nginx 技術指南而定。nginx 技術指南會在受管節點上安裝和設定 Web 伺服器。這時也會指定必要的 chef-client 技術指南，其將在受管節點上安裝 Chef Infra 用戶端代理程式。

Policyfile.rb 也會指向選用的 Chef Audit 技術指南，其可供您設定節點上的合規掃描。如需為受管節點設定合規掃描和取得合規結果的詳細資訊，請參閱 中的合規掃描 AWS OpsWorks for Chef Automate。如果您不想要現在設定合規掃描和稽核，請刪除 run_list 區段中的 'audit'，而且不要在檔案結尾指定 audit 技術指南屬性。

# Policyfile.rb - Describe how you want Chef to build your system.
#                 
# For more information about the Policyfile feature, visit                                             
# https://docs.chef.io/policyfile.html                                                                 

# A name that describes what the system you're building with Chef does.                                
name 'opsworks-demo-webserver'

# The cookbooks directory is the preferred source for external cookbooks                               
default_source :chef_repo, "cookbooks/" do |s|                                                         
  s.preferred_for "nginx", "windows", "chef-client", "yum-epel", "seven_zip",  
                  "build-essential", "mingw", "ohai", "audit", "logrotate", "cron"                     
end
# Alternative source 
default_source :supermarket                                                                            

# run_list: chef-client runs these recipes in the order specified.                                 
run_list  'chef-client',
          'opsworks-webserver',
          'audit'
# add 'ssh-hardening' to your runlist to fix compliance issues detected by the ssh-baseline profile    

# Specify a custom source for a single cookbook:                                                       
cookbook 'opsworks-webserver', path: 'cookbooks/opsworks-webserver'                               

# Policyfile defined attributes

# Define audit cookbook attributes
default["opsworks-demo"]["audit"]["reporter"] = "chef-server-automate"
default["opsworks-demo"]["audit"]["profiles"] = [
  {
    "name": "DevSec SSH Baseline",
    "compliance": "admin/ssh-baseline"
  }
]

下面介紹當您現在只想要設定 nginx Web 伺服器時，所出現不含 audit 技術指南和屬性的 Policyfile.rb。

# Policyfile.rb - Describe how you want Chef to build your system.
#
# For more information on the Policyfile feature, visit
# https://docs.chef.io/policyfile.html

# A name that describes what the system you're building with Chef does.
name 'opsworks-demo-webserver'

# Where to find external cookbooks:
default_source :supermarket

# run_list: chef-client will run these recipes in the order specified.
run_list  'chef-client',
          'opsworks-webserver'

# Specify a custom source for a single cookbook:
cookbook 'opsworks-webserver', path: 'cookbooks/opsworks-webserver'

如果您變更 Policyfile.rb, 請務必儲存檔案。

下載並安裝 Policyfile.rb 中所定義的技術指南。

chef install

所有技術指南的版本都是經由技術指南的 metadata.rb 檔案所控制。每次變更技術指南時，您都必須在技術指南的 metadata.rb 中提高其版本。

如果您選擇了設定合規掃描，並在政策檔案中保留 audit 說明書資訊，則請將政策 opsworks-demo 推送到您的伺服器。

chef push opsworks-demo

如果您已完成步驟 3，請驗證您的政策安裝情況。執行下列命令。

chef show-policy

結果應類似以下內容：

opsworks-demo-webserver 
======================= 
* opsworks-demo:  ec0fe46314

您現在可以將節點新增或引導到您的 Chef Automate 伺服器。您可以遵循在 中自動新增節點 AWS OpsWorks for Chef Automate中的步驟將節點的關聯自動化，或遵循個別新增節點中的步驟來逐一新增節點。

若要開始使用，請將 chef-client 技術指南新增到已包含的 Berksfile。chef-client 技術指南會為每部連接到 Chef Automate 伺服器的節點設定 Chef Infra 代理程式軟體。若要進一步了解此技術指南，請參閱 Chef Supermarket 中的 Chef Client Cookbook。

使用文字編輯器，將另一個安裝Web 伺服器應用程式的其他技術指南附加到 Berksfile；例如，安裝 Apache Web 伺服器的 apache2 技術指南。您的 Berksfile 應該如下所示。

source 'https://supermarket.chef.io'
cookbook 'chef-client'
cookbook 'apache2'

在您的本機電腦上下載並安裝技術指南。

berks install

將技術指南上傳至 Chef 伺服器。

在 Linux 上，執行：

SSL_CERT_FILE='.chef/ca_certs/opsworks-cm-ca-2020-root.pem' berks upload

在 Windows 上，在 PowerShell 工作階段中執行下列 Chef Workstation 命令。執行命令之前，請務必將 PowerShell 中的執行政策設為 RemoteSigned。新增 chef shell-init 以讓 Chef Workstation 公用程式命令可供 PowerShell 使用。

$env:SSL_CERT_FILE="ca_certs\opsworks-cm-ca-2020-root.pem"
chef shell-init berks upload
Remove-Item Env:\SSL_CERT_FILE

顯示 Chef Automate 伺服器上目前可用的技術指南清單，驗證技術指南的安裝情況。您可以執行下列 knife 命令，即可進行新增：

您已準備好使用 AWS OpsWorks for Chef Automate 伺服器新增要管理的節點。

knife cookbook list

執行下列命令。

knife ssl check

如果結果類似於以下內容，請略過此程序的其餘部分，然後前往 為 Chef 伺服器新增要管理的節點。

Connecting to host my-chef-automate-server.my-corp.com:443
          Successfully verified certificates from 'my-chef-automate-server.my-corp.com'

如果出現類似下列的錯誤訊息，請繼續下一個步驟。

Connecting to host my-chef-automate-server.my-corp.com:443
          ERROR: The SSL certificate of my-chef-automate-server.my-corp.com could not be verified.
          ...

執行 knife ssl fetch 以信任 AWS OpsWorks for Chef Automate 伺服器的憑證。或者，您可以手動將伺服器的根 CA PEM 格式憑證複製到 knife ssl check 輸出中的 trusted_certs_dir 值的目錄。根據預設，此目錄位於入門套件中的 .chef/ca_certs/。輸出應類似以下內容：

WARNING: Certificates from my-chef-automate-server.my-corp.com will be fetched and placed in your trusted_cert
          directory (/Users/username/starterkit/.chef/../.chef/ca_certs).
       
          Knife has no means to verify these are the correct certificates. You should
          verify the authenticity of these certificates after downloading.
       
          Adding certificate for my-chef-automate-server in /Users/users/starterkit/.chef/../.chef/ca_certs/servv-aqtswxu20swzkjgz.crt
          Adding certificate for MyCorp_Root_CA in /Users/users/starterkit/.chef/../.chef/ca_certs/MyCorp_Root_CA.crt

再次執行 knife ssl check。輸出應類似以下內容：

Connecting to host my-chef-automate-server.my-corp.com:443
          Successfully verified certificates from 'my-chef-automate-server.my-corp.com'

您已準備好使用 knife 搭配您的 Chef Automate 伺服器。