建立 Chef Automate 伺服器

請登入 AWS Management Console 並開啟 AWS OpsWorks 主控台，網址為 https://console.aws.amazon.com/opsworks/。

在 AWS OpsWorks 首頁上，選擇轉到 OpsWorks 廚師自動化。

在 AWS OpsWorks for Chef Automate 首頁上，選擇「建立 Chef 自動化伺服器」。

在 Set name, region, and type (設定名稱、區域和類型) 頁面上，指定您的伺服器名稱。Chef 伺服器名稱最多可包含 40 個字元，而且只能包含英數字元和破折號。選取支援的區域，然後選擇支援您想要管理之節點數目的執行個體類型。如有需要，您可以在建立伺服器之後變更執行個體類型。在本逐步解說中，我們將在美國西部 (奧勒岡) 區域建立 m5.large 執行個體類型。選擇下一步。

在 Configure server (設定伺服器) 頁面上，保留 SSH key (SSH 金鑰) 下拉式清單中的預設選項，除非您想要指定金鑰對名稱。

保留 Specify server endpoint (指定伺服器端點) 中的預設值 Use an automatically-generated endpoint (使用自動產生的端點)，然後選擇 Next (下一步)，除非您希望伺服器位於您自己的自訂網域中。若要設定自訂網域，請繼續下一個步驟。

若要使用自訂網域，請在 Specify server endpoint (指定伺服器端點) 下拉式清單中選擇 Use a custom domain (使用自訂網域)。

1. 在 Fully qualified domain name (FQDN) (完整網域名稱 (FQDN)) 中指定 FQDN。您必須擁有想要使用的網域名稱。

2. 在 SSL certificate (SSL 憑證) 中貼上整個 PEM 格式憑證，開頭為 –––--BEGIN CERTIFICATE----- 且結尾為 –––--END CERTIFICATE-----。SSL 憑證主體必須符合您在上個步驟輸入的 FQDN。

3. 在 SSL private key (SSL 私密金鑰) 中貼上整個 RSA 私密金鑰，開頭為 –––--BEGIN RSA PRIVATE KEY----- 且結尾為 –––--END RSA PRIVATE KEY-----。SSL 私密金鑰必須符合您在上個步驟的 SSL 憑證中輸入的公開金鑰。選擇下一步。

在 Configure Advanced Settings (設定進階設定) 頁面的 Network and Security (網路與安全) 區域中，選擇 VPC、子網路，以及一或多個安全群組。下列是您的 VPC 的需求：

AWS OpsWorks 如果您還沒有要使用的安全性群組、服務角色和執行個體設定檔，可以為您產生安全性群組、服務角色和執行個體設定檔。您的伺服器可以是多個安全群組的成員。離開此頁面之後，您將無法變更 Chef 伺服器的網路與安全設定。

在 System maintenance (系統維護) 區段中，將日和小時設為您希望開始系統維護的時間。因為您應預期伺服器在系統維護期間離線，請選擇一般工作時間內伺服器需求較低的時間。連線的節點會進入 pending-server 狀態，直到維護完成為止。

需要維護時段。您可以使用 AWS Management Console、 AWS CLI或 API 來變更開始日期和稍後的時間。

設定備份。預設會啟用自動備份。設定要開始自動備份的偏好頻率和小時數，並設定要存放在 Amazon 簡單儲存服務中的備份世代數量。最多可保留 30 個備份；達到最大備份時， AWS OpsWorks for Chef Automate 會刪除最舊的備份以騰出空間供新備份使用。

(選用) 在 Tags (標籤) 中，將標籤新增至伺服器和相關資源，例如 EC2 執行個體、彈性 IP 地址、安全群組、S3 儲存貯體和備份。如需標記 AWS OpsWorks for Chef Automate 伺服器的更多資訊，請參閱在 AWS OpsWorks for Chef Automate 資源上使用標籤。

當您完成設定進階設定時，選擇 Next (下一步)。

在 Review (檢閱) 頁面上，檢視您的選擇。當您準備好建立伺服器時，選擇 Launch (啟動)。

在等待 AWS OpsWorks 創建 Chef 服務器時，請轉到使用入門套件設定 Chef 伺服器並下載入門套件和 Chef 自動化儀表板憑據。不要等到您的伺服器上線，再下載這些項目。

伺服器建立完成之後， AWS OpsWorks for Chef Automate 首頁即會顯示您的 Chef 伺服器，且狀態為 online (線上)。伺服器上線之後，伺服器的網域會提供 Chef Automate 儀表板，URL 格式如下：https://your_server_name-random.region.opsworks-cm.io。

請務必完成這些先決條件，特別是設定 VPC，或確定您具備想要使用的現有 VPC。若要建立您的 Chef Automate 伺服器，您需要子網路 ID。

(選用) 使用 OpenSSL 產生 Chef 樞紐金鑰，並將金鑰儲存至您本機電腦上安全方便的檔案。如果您未在 create-server 命令中提供樞紐金鑰，則會在伺服器建立程序中自動產生。如果您想要略過此步驟，您可以改為從 create-server 命令的結果取得 Chef Automate 樞紐金鑰。如果您選擇使用以下命令產生樞紐金鑰，請務必包含 -pubout 參數，因為 Chef Automate 樞紐金鑰值是 RSA 金鑰對的公有部分。如需詳細資訊，請參閱步驟 6。

umask 077
openssl genrsa -out "pivotal" 2048
openssl rsa -in "pivotal" -pubout

建立服務角色和執行個體設定檔。 AWS OpsWorks 提供可用來建立兩者的 AWS CloudFormation 樣板。執行下列 AWS CLI 命令以建立為您建立服務角色和執行個體設定檔的 AWS CloudFormation 堆疊。

aws cloudformation create-stack --stack-name OpsWorksCMRoles --template-url https://s3.amazonaws.com/opsworks-cm-us-east-1-prod-default-assets/misc/opsworks-cm-roles.yaml --capabilities CAPABILITY_NAMED_IAM

建立堆疊 AWS CloudFormation 完成後，尋找並複製帳戶中服務角色的 ARN。

aws iam list-roles --path-prefix "/service-role/" --no-paginate

在 list-roles 命令的結果中，尋找類似如下的服務角色 ARN 項目。請記下服務角色 ARN。您需要這些值，才能建立您的 Chef Automate 伺服器。

{
    "AssumeRolePolicyDocument": {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Action": "sts:AssumeRole",
                "Effect": "Allow",
                "Principal": {
                    "Service": "ec2.amazonaws.com"
                }
            }
        ]
    },
    "RoleId": "AROZZZZZZZZZZQG6R22HC",
    "CreateDate": "2018-01-05T20:42:20Z",
    "RoleName": "aws-opsworks-cm-ec2-role",
    "Path": "/service-role/",
    "Arn": "arn:aws:iam::000000000000:role/service-role/aws-opsworks-cm-ec2-role"
},
{
    "AssumeRolePolicyDocument": {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Action": "sts:AssumeRole",
                "Effect": "Allow",
                "Principal": {
                    "Service": "opsworks-cm.amazonaws.com"
                }
            }
        ]
    },
    "RoleId": "AROZZZZZZZZZZZZZZZ6QE",
    "CreateDate": "2018-01-05T20:42:20Z",
    "RoleName": "aws-opsworks-cm-service-role",
    "Path": "/service-role/",
    "Arn": "arn:aws:iam::000000000000:role/service-role/aws-opsworks-cm-service-role"
}

在您的帳戶中，找出並複製執行個體描述檔的 ARN。

aws iam list-instance-profiles --no-paginate

在 list-instance-profiles 命令的結果中，尋找類似如下的執行個體描述檔 ARN 項目。請記下執行個體描述檔 ARN。您需要這些值，才能建立您的 Chef Automate 伺服器。

{
    "Path": "/",
    "InstanceProfileName": "aws-opsworks-cm-ec2-role",
    "InstanceProfileId": "EXAMPLEDC6UR3LTUW7VHK",
    "Arn": "arn:aws:iam::123456789012:instance-profile/aws-opsworks-cm-ec2-role",
    "CreateDate": "2017-01-05T20:42:20Z",
    "Roles": [
        {
            "Path": "/service-role/",
            "RoleName": "aws-opsworks-cm-ec2-role",
            "RoleId": "EXAMPLEE4STNUQG6R22HC",
            "Arn": "arn:aws:iam::123456789012:role/service-role/aws-opsworks-cm-ec2-role",
            "CreateDate": "2017-01-05T20:42:20Z",
            "AssumeRolePolicyDocument": {
                "Version": "2012-10-17",
                "Statement": [
                    {
                        "Effect": "Allow",
                        "Principal": {
                            "Service": "ec2.amazonaws.com"
                        },
                        "Action": "sts:AssumeRole"
                    }
                ]
            }
        }
    ]
},

透過執行create-server指令來建立 AWS OpsWorks for Chef Automate 伺服器。

aws opsworks-cm create-server --engine "ChefAutomate" --engine-model "Single" --engine-version "12" --server-name "server_name" --instance-profile-arn "instance_profile_ARN" --instance-type "instance_type" --engine-attributes '{"CHEF_AUTOMATE_PIVOTAL_KEY":"pivotal_key","CHEF_AUTOMATE_ADMIN_PASSWORD":"password"}' --key-pair "key_pair_name" --preferred-maintenance-window "ddd:hh:mm" --preferred-backup-window "ddd:hh:mm" --security-group-ids security_group_id1 security_group_id2 --service-role-arn "service_role_ARN" --subnet-ids subnet_ID

以下是範例。

aws opsworks-cm create-server --engine "ChefAutomate" --engine-model "Single" --engine-version "12" --server-name "automate-06" --instance-profile-arn "arn:aws:iam::12345678912:instance-profile/aws-opsworks-cm-ec2-role" --instance-type "m5.large" --engine-attributes '{"CHEF_AUTOMATE_PIVOTAL_KEY":"MZZE...Wobg","CHEF_AUTOMATE_ADMIN_PASSWORD":"zZZzDj2DLYXSZFRv1d"}' --key-pair "amazon-test" --preferred-maintenance-window "Mon:08:00" --preferred-backup-window "Sun:02:00" --security-group-ids sg-b00000001 sg-b0000008 --service-role-arn "arn:aws:iam::12345678912:role/service-role/aws-opsworks-cm-service-role" --subnet-ids subnet-300aaa00

以下範例建立一個使用自訂網域的 Chef Automate 伺服器。

aws opsworks-cm create-server --engine "ChefAutomate" --engine-model "Single" --engine-version "12" \
    --server-name "my-custom-domain-server" \
    --instance-profile-arn "arn:aws:iam::12345678912:instance-profile/aws-opsworks-cm-ec2-role" \
    --instance-type "m5.large" \
    --engine-attributes '{"CHEF_AUTOMATE_PIVOTAL_KEY":"MZZE...Wobg","CHEF_AUTOMATE_ADMIN_PASSWORD":"zZZzDj2DLYXSZFRv1d"}' \
    --custom-domain "my-chef-automate-server.my-corp.com" \
    --custom-certificate "-----BEGIN CERTIFICATE----- EXAMPLEqEXAMPLE== -----END CERTIFICATE-----" \
    --custom-private-key "-----BEGIN RSA PRIVATE KEY----- EXAMPLEqEXAMPLE= -----END RSA PRIVATE KEY-----" \
    --key-pair "amazon-test" \
    --preferred-maintenance-window "Mon:08:00" \
    --preferred-backup-window "Sun:02:00" \
    --security-group-ids sg-b00000001 sg-b0000008 \
    --service-role-arn "arn:aws:iam::12345678912:role/service-role/aws-opsworks-cm-service-role" \
    --subnet-ids subnet-300aaa00

以下範例建立的 Chef Automate 伺服器會新增下面二個標籤：Stage: Production 和 Department: Marketing。如需有關在 AWS OpsWorks for Chef Automate 伺服器上新增和管理標籤的詳細資訊，請參閱本指南在 AWS OpsWorks for Chef Automate 資源上使用標籤中的。

aws opsworks-cm create-server --engine "ChefAutomate" --engine-model "Single" --engine-version "12" \
    --server-name "my-test-chef-server" \
    --instance-profile-arn "arn:aws:iam::12345678912:instance-profile/aws-opsworks-cm-ec2-role" \
    --instance-type "m5.large" \
    --engine-attributes '{"CHEF_AUTOMATE_PIVOTAL_KEY":"MZZE...Wobg","CHEF_AUTOMATE_ADMIN_PASSWORD":"zZZzDj2DLYXSZFRv1d"}' \
    --key-pair "amazon-test" \
    --preferred-maintenance-window "Mon:08:00" \
    --preferred-backup-window "Sun:02:00" \
    --security-group-ids sg-b00000001 sg-b0000008 \
    --service-role-arn "arn:aws:iam::12345678912:role/service-role/aws-opsworks-cm-service-role" \
    --subnet-ids subnet-300aaa00 \
    --tags [{\"Key\":\"Stage\",\"Value\":\"Production\"},{\"Key\":\"Department\",\"Value\":\"Marketing\"}]

AWS OpsWorks for Chef Automate 大約需要 15 分鐘來創建一個新的服務器。請勿關閉 create-server 命令的輸出或關閉您的 shell 工作階段，因為輸出可能包含不會再顯示的重要資訊。若要從 create-server 結果取得密碼和入門套件，請前往下一個步驟。

如果您在伺服器上使用自訂網域，請在 create-server 命令的輸出中複製 Endpoint 屬性的值。以下是範例。

"Endpoint": "automate-07-exampleexample.opsworks-cm.us-east-1.amazonaws.com"

如果您選擇為您 AWS OpsWorks for Chef Automate 生成密鑰和密碼，則可以使用 JSON 處理器（例如 j q）以可用的格式從create-server結果中提取它們。安裝 jq 之後，您可以執行下列命令來解壓縮樞紐金鑰、Chef Automate 儀表板管理員密碼和入門套件。如果您未在步驟 4 中提供自己的樞紐金鑰和密碼，請務必將解壓縮的樞紐金鑰和管理員密碼儲存在方便但安全的位置。

#Get the Chef password:
cat resp.json | jq -r '.Server.EngineAttributes[] | select(.Name == "CHEF_AUTOMATE_ADMIN_PASSWORD") | .Value'

#Get the Chef Pivotal Key:
cat resp.json | jq -r '.Server.EngineAttributes[] | select(.Name == "CHEF_AUTOMATE_PIVOTAL_KEY") | .Value'

#Get the Chef Starter Kit:
cat resp.json | jq -r '.Server.EngineAttributes[] | select(.Name == "CHEF_STARTER_KIT") | .Value' | base64 -D > starterkit.zip

或者，如果您未從create-server命令結果中擷取入門套件，您可以從 AWS OpsWorks for Chef Automate 主控台中伺服器的 [內容] 頁面下載新的入門套件。下載新的入門套件會重設 Chef Automate 儀表板管理員密碼。

如果您不是使用自訂網域，請繼續下一個步驟。如果您在伺服器上使用自訂網域，請在企業的 DNS 管理工具中建立 CNAME 項目，以將自訂網域指向您在步驟 7 中複製的 AWS OpsWorks for Chef Automate 端點。在完成此步驟之前，您無法連線或登入具有自訂網域的伺服器。

完成伺服器建立程序之後，繼續使用入門套件設定 Chef 伺服器。