使用初学者工具包配置 Chef Server

当服务器创建仍在进行时，下载 Chef Server 的登录凭证并将其保存到安全而方便的位置。

下载初学者工具包，将初学者工具包 .zip 文件解压缩到您的工作区目录中。请不要共享初学者工具包私有密钥。如果其他用户将管理 Chef Server，以后可以在 Chef Automate 控制面板中将其作为管理员添加。

在要用于管理 Chef Server 和节点的计算机上下载并安装Chef Workstation （之前称为 Chef 开发工具包 或 Chef DK)。该knife实用程序是 Chef 工作站的一部分。有关说明，请参阅 Chef 网站上的安装 Chef Workstation。

在本地计算机上创建目录来存储说明书，例如 chef-repo。将食谱、角色和其他文件添加到此存储库后，我们建议您将其上传或存储在安全的版本控制系统（例如 CodeCommit Git 或 Amazon S3）中。

在 chef-repo 目录中，创建以下目录：

在您的初学者工具包中查看 Policyfile.rb。默认情况下，Policyfile.rb 包括 opsworks-webserver 包装程序说明书，该说明书依赖于 Chef Supermarket 网站上提供的nginx说明书。nginx 说明书在托管节点上安装和配置 Web 服务器。还指定了所需的 chef-client 说明书，该说明书在托管节点上安装 Chef Infra 客户端代理。

Policyfile.rb 还指向可选 Chef Audit 说明书，您可以用它来在节点上设置合规性扫描。有关为托管节点设置合规性扫描和获取合规性结果的更多信息，请参阅：中的合规性扫描 AWS OpsWorks for Chef Automate。如果您不想立即配置合规性扫描和审计，请从 run_list 部分中删除 'audit'，并且不要在文件末尾指定 audit 说明书属性。

# Policyfile.rb - Describe how you want Chef to build your system.
#                 
# For more information about the Policyfile feature, visit                                             
# https://docs.chef.io/policyfile.html                                                                 

# A name that describes what the system you're building with Chef does.                                
name 'opsworks-demo-webserver'

# The cookbooks directory is the preferred source for external cookbooks                               
default_source :chef_repo, "cookbooks/" do |s|                                                         
  s.preferred_for "nginx", "windows", "chef-client", "yum-epel", "seven_zip",  
                  "build-essential", "mingw", "ohai", "audit", "logrotate", "cron"                     
end
# Alternative source 
default_source :supermarket                                                                            

# run_list: chef-client runs these recipes in the order specified.                                 
run_list  'chef-client',
          'opsworks-webserver',
          'audit'
# add 'ssh-hardening' to your runlist to fix compliance issues detected by the ssh-baseline profile    

# Specify a custom source for a single cookbook:                                                       
cookbook 'opsworks-webserver', path: 'cookbooks/opsworks-webserver'                               

# Policyfile defined attributes

# Define audit cookbook attributes
default["opsworks-demo"]["audit"]["reporter"] = "chef-server-automate"
default["opsworks-demo"]["audit"]["profiles"] = [
  {
    "name": "DevSec SSH Baseline",
    "compliance": "admin/ssh-baseline"
  }
]

如果您现在只想配置 nginx Web 服务器，以下为一个没有 audit 说明书和属性的 Policyfile.rb 示例。

# Policyfile.rb - Describe how you want Chef to build your system.
#
# For more information on the Policyfile feature, visit
# https://docs.chef.io/policyfile.html

# A name that describes what the system you're building with Chef does.
name 'opsworks-demo-webserver'

# Where to find external cookbooks:
default_source :supermarket

# run_list: chef-client will run these recipes in the order specified.
run_list  'chef-client',
          'opsworks-webserver'

# Specify a custom source for a single cookbook:
cookbook 'opsworks-webserver', path: 'cookbooks/opsworks-webserver'

如果您对 Policyfile.rb 进行了更改，请务必保存该文件。

下载并安装 Policyfile.rb 中定义的说明书。

chef install

所有说明书的版本均记录在说明书的 metadata.rb 文件中。每次更改说明书后，必须在 metadata.rb 中提高该说明书的版本。

如果您选择配置合规性扫描，并将 audit 说明书信息保留在策略文件中，请推送策略 opsworks-demo 到您的服务器。

chef push opsworks-demo

如果您完成了步骤 3，请验证您的策略是否已安装。运行以下命令。

chef show-policy

结果应与以下内容类似：

opsworks-demo-webserver 
======================= 
* opsworks-demo:  ec0fe46314

现在，您可以向您的 Chef Automate 服务器添加或引导节点了。您可以按照 在中自动添加节点 AWS OpsWorks for Chef Automate 中的步骤自动关联节点，或按照 单独添加节点 中的步骤，每次添加一个节点。

要开始使用，请将 chef-client 说明书添加到随附的 Berksfile 中。chef-client 说明书配置连接到 Chef Automate 服务器的每个节点上的 Chef Infra 客户端代理软件。要了解有关此说明书的更多信息，请参阅 Chef 超市中的 Chef Client 说明书。

使用文本编辑器，将其他说明书附加到在其中安装 Web 服务器应用程序的 Berksfile；例如，apache2 说明书，该说明书安装 Apache Web 服务器应用程序。您的 Berksfile 应类似于以下内容。

source 'https://supermarket.chef.io'
cookbook 'chef-client'
cookbook 'apache2'

在本地计算机上下载并安装说明书。

berks install

将说明书上传到 Chef Server。

在 Linux 上，运行以下命令。

SSL_CERT_FILE='.chef/ca_certs/opsworks-cm-ca-2020-root.pem' berks upload

在 Windows 上，在 PowerShell 会话中运行以下 Chef Workstation 命令。在运行命令之前，请务必将执行策略设置 PowerShell 为RemoteSigned。添加chef shell-init以使 Chef Workstation 实用程序命令可供使用 PowerShell。

$env:SSL_CERT_FILE="ca_certs\opsworks-cm-ca-2020-root.pem"
chef shell-init berks upload
Remove-Item Env:\SSL_CERT_FILE

通过显示当前在 Chef Automate 服务器上可用的说明书列表，验证说明书的安装。您可以使用以下 knife 命令进行这项操作：

您已准备好添加要使用 AWS OpsWorks for Chef Automate 服务器管理的节点。

knife cookbook list

运行以下命令。

knife ssl check

如果结果类似于以下内容，请跳过此过程的其余部分，然后继续 为 Chef 服务器添加节点以进行管理。

Connecting to host my-chef-automate-server.my-corp.com:443
          Successfully verified certificates from 'my-chef-automate-server.my-corp.com'

如果您收到类似于以下内容的错误消息，请继续执行下一步。

Connecting to host my-chef-automate-server.my-corp.com:443
          ERROR: The SSL certificate of my-chef-automate-server.my-corp.com could not be verified.
          ...

运行 knife ssl fetch 以信任 AWS OpsWorks for Chef Automate 服务器的证书。或者，您可以手动将服务器的根 CA PEM 格式的证书复制到作为 knife ssl check 输出中 trusted_certs_dir 的值的目录。默认情况下，此目录位于初学者工具包的 .chef/ca_certs/ 中。输出应与以下内容类似：

WARNING: Certificates from my-chef-automate-server.my-corp.com will be fetched and placed in your trusted_cert
          directory (/Users/username/starterkit/.chef/../.chef/ca_certs).
       
          Knife has no means to verify these are the correct certificates. You should
          verify the authenticity of these certificates after downloading.
       
          Adding certificate for my-chef-automate-server in /Users/users/starterkit/.chef/../.chef/ca_certs/servv-aqtswxu20swzkjgz.crt
          Adding certificate for MyCorp_Root_CA in /Users/users/starterkit/.chef/../.chef/ca_certs/MyCorp_Root_CA.crt

再次运行 knife ssl check。输出应与以下内容类似：

Connecting to host my-chef-automate-server.my-corp.com:443
          Successfully verified certificates from 'my-chef-automate-server.my-corp.com'

您已准备好 knife 与您的 Chef Automate 服务器结合使用。