Configura il server Chef utilizzando lo Starter Kit

Durante la creazione del server, scarica le credenziali di accesso per il server Chef e salvale in una posizione comoda e sicura.

Scarica lo Starter Kit e decomprimi il suo file .zip nella directory del tuo WorkSpace. Non condividere la chiave privata dello Starter Kit. Se altri utenti gestiranno il server Chef, aggiungili in seguito come amministratori del pannello di controllo di Chef Automate.

Scarica e installa Chef Workstation (precedentemente noto come Chef Development Kit o Chef DK) sul computer che utilizzerai per gestire il server e i nodi Chef. L'knifeutilità fa parte di Chef Workstation. Per istruzioni, consulta Installa Chef Workstation sul sito Web di Chef.

Crea una directory sul computer locale per l'archivio dei libri di ricetta, ad esempio chef-repo. Dopo aver aggiunto libri di cucina, ruoli e altri file a questo repository, ti consigliamo di caricarlo o archiviarlo in un sistema sicuro con versioni diverse, come CodeCommit Git o Amazon S3.

Nella directory chef-repo crea le directory seguenti:

Visualizzare Policyfile.rb nello starter kit. Per impostazione predefinita, Policyfile.rb include il libro di ricette per il wrapper opsworks-webserver che dipende dal libro di ricette nginx disponibile nel sito Web Chef Supermarket. Il libro di ricette nginx consente di installare e configurare un server Web sui nodi gestiti. Viene anche specificato il libro di ricette chef-client richiesto, che consente di installare l'agente client Chef Infra sui nodi gestiti.

Policyfile.rb indica anche il libro di ricette opzionale Chef Audit, che è possibile utilizzare per configurare le scansioni di conformità sui nodi. Per ulteriori informazioni sulla configurazione delle scansioni di conformità e sul recupero dei risultati di conformità per i nodi gestiti, consultare Scansioni di conformità in AWS OpsWorks for Chef Automate. Se non si desidera configurare le scansioni di conformità e l'audit in questo momento, eliminare 'audit' dalla sezione run_list e non specificare gli attributi del libro di ricette audit alla fine del file.

# Policyfile.rb - Describe how you want Chef to build your system.
#                 
# For more information about the Policyfile feature, visit                                             
# https://docs.chef.io/policyfile.html                                                                 

# A name that describes what the system you're building with Chef does.                                
name 'opsworks-demo-webserver'

# The cookbooks directory is the preferred source for external cookbooks                               
default_source :chef_repo, "cookbooks/" do |s|                                                         
  s.preferred_for "nginx", "windows", "chef-client", "yum-epel", "seven_zip",  
                  "build-essential", "mingw", "ohai", "audit", "logrotate", "cron"                     
end
# Alternative source 
default_source :supermarket                                                                            

# run_list: chef-client runs these recipes in the order specified.                                 
run_list  'chef-client',
          'opsworks-webserver',
          'audit'
# add 'ssh-hardening' to your runlist to fix compliance issues detected by the ssh-baseline profile    

# Specify a custom source for a single cookbook:                                                       
cookbook 'opsworks-webserver', path: 'cookbooks/opsworks-webserver'                               

# Policyfile defined attributes

# Define audit cookbook attributes
default["opsworks-demo"]["audit"]["reporter"] = "chef-server-automate"
default["opsworks-demo"]["audit"]["profiles"] = [
  {
    "name": "DevSec SSH Baseline",
    "compliance": "admin/ssh-baseline"
  }
]

Di seguito è riportato un esempio di Policyfile.rb senza il libro di ricette audit e gli attributi, se si desidera configurare solo i server Web nginx per il momento.

# Policyfile.rb - Describe how you want Chef to build your system.
#
# For more information on the Policyfile feature, visit
# https://docs.chef.io/policyfile.html

# A name that describes what the system you're building with Chef does.
name 'opsworks-demo-webserver'

# Where to find external cookbooks:
default_source :supermarket

# run_list: chef-client will run these recipes in the order specified.
run_list  'chef-client',
          'opsworks-webserver'

# Specify a custom source for a single cookbook:
cookbook 'opsworks-webserver', path: 'cookbooks/opsworks-webserver'

Se si modifica Policyfile.rb, assicurarsi di salvare il file.

Scaricare e installare i libri di ricette definiti in Policyfile.rb.

chef install

La versione di tutti i libri di ricette è indicata nel file metadata.rb del libro di ricette. A ogni modifica di un libro di ricette, è necessario aumentare la versione del libro di ricette all'interno del file metadata.rb.

Se si è scelto di configurare le scansioni di conformità e conservare le informazioni del libro di ricette audit nel file di policy, eseguire il push della policy opsworks-demo sul server.

chef push opsworks-demo

Se è stato completata la fase 3, verificare l'installazione della policy. Esegui il comando seguente.

chef show-policy

Il risultato deve essere simile al seguente:

opsworks-demo-webserver 
======================= 
* opsworks-demo:  ec0fe46314

È ora possibile aggiungere o eseguire il bootstrap dei nodi al server Chef Automate. È possibile automatizzare l'associazione di nodi completando la procedura in Aggiungi nodi automaticamente in AWS OpsWorks for Chef Automate o aggiungendo un nodo alla volta completando la procedura in Aggiungi nodi singolarmente.

Per iniziare, aggiungere il libro di ricette chef-client al Berksfile incluso. Il libro di ricette chef-client configura il software dell'agente client Chef Infra in ogni nodo che si connette al server Chef Automate. Per ulteriori informazioni su questo libro di ricette, consulta l'articolo relativo al libro di ricette del client Chef su Chef Supermarket.

Usando un editor di testo, aggiungere un altro libro di ricette al Berksfile che installa un'applicazione server Web, ad esempio il libro di ricette apache2 che installa il server Web Apache. Il file Berksfile dovrebbe essere simile al seguente.

source 'https://supermarket.chef.io'
cookbook 'chef-client'
cookbook 'apache2'

Scarica e installa il libro di ricette sul computer locale.

berks install

Carica il libro di ricette sul server Chef.

Su Linux, esegui quanto segue.

SSL_CERT_FILE='.chef/ca_certs/opsworks-cm-ca-2020-root.pem' berks upload

Su Windows, esegui il seguente comando Chef Workstation in una PowerShell sessione. Prima di eseguire il comando, assicurati di impostare la politica di esecuzione PowerShell suRemoteSigned. Aggiungi chef shell-init per rendere disponibili i comandi di utilità di Chef Workstation a PowerShell.

$env:SSL_CERT_FILE="ca_certs\opsworks-cm-ca-2020-root.pem"
chef shell-init berks upload
Remove-Item Env:\SSL_CERT_FILE

Verifica di aver installato il libro di ricette, visualizzando un elenco di libri di ricette attualmente disponibili sul server Chef Automate. Per aggiungerlo, eseguire il comando knife seguente:

Sei pronto per aggiungere nodi da gestire con il AWS OpsWorks for Chef Automate server.

knife cookbook list

Esegui il comando seguente.

knife ssl check

Se i risultati sono simili ai seguenti, ignorare il resto della procedura e passare a Aggiungere nodi da gestire con il server Chef.

Connecting to host my-chef-automate-server.my-corp.com:443
          Successfully verified certificates from 'my-chef-automate-server.my-corp.com'

Se viene visualizzato un messaggio di errore simile al seguente, passare alla fase successiva.

Connecting to host my-chef-automate-server.my-corp.com:443
          ERROR: The SSL certificate of my-chef-automate-server.my-corp.com could not be verified.
          ...

Eseguire knife ssl fetch per l'attendibilità dei certificati del server AWS OpsWorks for Chef Automate . In alternativa, è possibile copiare manualmente il certificato CA root in formato PEM del server nella directory che è il valore di trusted_certs_dir nell'output di knife ssl check. Per impostazione predefinita, questa directory si trova in .chef/ca_certs/ nello Starter Kit. L'output visualizzato dovrebbe essere simile al seguente:

WARNING: Certificates from my-chef-automate-server.my-corp.com will be fetched and placed in your trusted_cert
          directory (/Users/username/starterkit/.chef/../.chef/ca_certs).
       
          Knife has no means to verify these are the correct certificates. You should
          verify the authenticity of these certificates after downloading.
       
          Adding certificate for my-chef-automate-server in /Users/users/starterkit/.chef/../.chef/ca_certs/servv-aqtswxu20swzkjgz.crt
          Adding certificate for MyCorp_Root_CA in /Users/users/starterkit/.chef/../.chef/ca_certs/MyCorp_Root_CA.crt

Eseguire nuovamente knife ssl check. L'output visualizzato dovrebbe essere simile al seguente:

Connecting to host my-chef-automate-server.my-corp.com:443
          Successfully verified certificates from 'my-chef-automate-server.my-corp.com'

Ora è possibile utilizzare knife con il server Chef Automate.