前言：到目前为止，我们已经搭建了很多的服务器，每一台服务器都需要执行很多的命令，给我的感觉是实验不难，原理也好理解，就是命令太麻烦。如果只管理几台服务器，命令多点也没什么，但是如果管理着成百上千台服务器，可以想象一下，工作量将是多么的庞大。所以作为一名运维工程师，就需要寻找一款能够降低工作量的工具。那么今天就给大家介绍一批工具，这批工具是“可编程”的，只需要为这批工具写上几行代码，它便会自动完成所有的工作，这批工具就是运维自动化puppet（为什么说是一批工具，因为软件不止一个）。Puppet可以针对多台服务器进行统一的操作，例如：软件分发，统一执行脚本，在服务器上写好脚本分发给客户机，客户机就会自动执行，减少了人力及误操作风险。Puppet与我们之前在windows2008R2中学习过的“组策略”非常相似，所以在windows中有的功能，在linux中都能找到这些功能的影子。

一、工作原理和案例环境

1、工作原理
Puppet的目的是让管理员只集中于要管理的目标，而忽略实现的细节。Puppet既可以在单机上使用，也可以c/s使用，在大规模使用puppet的情况下，通常使用c/s结构，在这种结构中puppet客户端只运行puppetclient，puppet服务器只运行puppetmaster。

2、工作流程
1）客户端puppet调用facter（facter是通过ssl加密收集及检测分析客户端配置信息的一个工具），facter探测出主机的一些变量，如主机名，内存大小，ip地址等。Puppet把这些信息通过ssl连接发送到服务器器端
2）服务器端的puppetmaster通过facter工具分析检测客户端的主机名，然后找到项目主配置文件mainfest里面对应的node配置，并对该部分内容进行解析。Facter发送过来的信息可以作为变量处理，node牵扯到的代码才解析，其他没牵涉的代码不解析，解析分为几个阶段，首先进行语法检查，如果语法没错，就继续解析，解析的结果生成一个中间的“伪代码”，然后把伪代码发送给客户端。
3）客户端接收到伪代码，并执行，客户端把执行的结果发送给服务器。
4）服务器把客户端的执行结果写入日志。

Puppet工作过程有以下两点值得注意：
1）为了保证安全，client和master之间是基于ssl和证书的，只有经master证书认证的client可以与master通信。
2）Puppet会让系统保持在人们所期望的某种状态并一直维持下去，例如：检测某个文件并保证其一直存在，保证ssh服务始终开启，如果文件被删除了或者ssh服务被关闭了，puppet下次执行时（默认30分钟），会重新创建该文件或者启动ssh服务。

3、案例环境

虚拟机环境

二、安装puppet的实验步骤

搭建puppetmaster
搭建puppetclient
配置测试节点
客户端主动拉取
服务器推送

1、搭建puppetmaster
1）规划服务器主机名（小规模可以修改/etc/hosts文件，服务器多的时候我们需要搭建dns服务器来实现服务通过主机名进行通信，这里就以/etc/hosts文件来实现）
Vi /etc/sysconfig/network

2）搭建NTP服务器（前面已经提到过facter使用证书与puppetmaster验证身份，所以一定要确保puppetclient与puppetmaster时间保持一致，需要单独准备一台时间服务器来提供时间同步）
搭建NTP服务器

启动ntp服务并开启iptables例外

三、应用案例

1、配置一个测试节点
节点信息：/etc/puppet/manifests/nodes
模块信息： /etc/pupppet/modules

实验目标：为了保护linux的ssh端×××破，批量修改客户端的sshd端口，将22号端口改为9922，并实现重启sshd服务的工作。

想完成以上几点，需要明确几点：
①需确定openssh软件包安装
②需确定存在ssh的配置文件
③确定sshd的服务是系统服务
创建ssh模块，模块的目录为ssh，模块下有三个文件分别是：manifests、templates、files。
manifest里面必须包含一个init.pp文件，这是该模块的的初始（入口）文件，导入一个模块的时候需要从init.pp开始执行，可以把所有的代码都写入到这个文件中，也可以分成多个.pp文件，init在去包含其他文件，定义class类名时必须是ssh，这样才能实现调动
files目录是该模块的发布目录，puppet提供了一个文件分割机制，类似rsync的模块。
templates目录包含erb模块文件、这个和file资源的templates属性有关（很少使用）
master端!