通過 saltstack 批量更新 SSL 證書

来源:https://www.cnblogs.com/edisonfish/p/18035005
-Advertisement-
Play Games

哈嘍大家好,我是鹹魚。 之前寫過兩篇關於 SSL 過期巡檢腳本的文章: SSL 證書過期巡檢腳本 SSL 證書過期巡檢腳本(Python 版) 這兩篇文章都是講如何通過腳本去自動檢測 SSL 過期時間的,當我們發現某一功能變數名稱的 SSL 證書過期之後,就要及時更換。 如果這個功能變數名稱下有很多伺服器,我們一臺 ...


哈嘍大家好,我是鹹魚。

之前寫過兩篇關於 SSL 過期巡檢腳本的文章:

  1. SSL 證書過期巡檢腳本
  2. SSL 證書過期巡檢腳本(Python 版)

這兩篇文章都是講如何通過腳本去自動檢測 SSL 過期時間的,當我們發現某一功能變數名稱的 SSL 證書過期之後,就要及時更換。

如果這個功能變數名稱下有很多伺服器,我們一臺一臺手動登錄機器然後更新證書的話效率是非常低的,所以我們可以通過一些自動化運維工具去完成這些大量重覆的工作。

像 ansible、puppet 這類工具也可以實現同樣的效果,但是鹹魚這邊主要用的還是 saltstack,所以今天介紹一些如何通過 saltstack 去批量更新 SSL 證書。

關於 saltstck 的介紹:

  1. 乾貨篇 | 自動化運維工具-saltstack(上)
  2. 乾貨篇 | 自動化運維工具-saltstack(中)
  3. 乾貨篇 | 自動化運維工具-saltstack(下)

首先我們在 salt-master 的主目錄下創建一個新的目錄,用於存放 SSL 證書和腳本,我自己機器上的 master 主目錄為 /home/salt/

mkdir -pv /home/salt/ssl_update/ssl

然後把 SSL 證書放在 /home/salt/ssl_update/ssl 目錄下,如果有多個功能變數名稱的話需要在下麵創建多個對應的目錄

[root@localhost]# tree /home/salt/ssl_update/
/home/salt/ssl_update
├── rollback.sls
├── update.sls
├── ssl
│   ├── domain1
│   │   ├── server.key
│   │   └── server.pem
│   ├── domain2
│   │   ├── server.key
│   │   └── server.pem
│   └── domain3
        ├── server.key
        └── server.pem

接下來我們開始編寫 saltstack 狀態腳本:

  1. update.sls 負責更新證書
  2. rollback.sls 負責回滾證書

因為之前遇到過更新證書之後由於證書鏈不完整導致證書失效,然後不得不緊急手動還原之前的證書。

所以覺得有必要做一個回滾操作,這樣新證書有問題的時候能夠及時自動還原。

我們先來看一下負責更新證書的 update.sls,這個腳本分成了三個模塊:

  1. SSL 證書備份
  2. SSL 證書更新
  3. Nginx 重啟
{% set domain = 'doamin1' %}
{% set ssl_dir = '/usr/local/nginx/ssl' %}
{% set dst_dir = ssl_dir + '/' + domain %}
{% set bak_dir = '/opt/backup/ssl/' + domain %}

backup_ssl:
  cmd.run:
      - name: "year=$(openssl x509 -in {{ dst_dir }}/server.pem -noout -dates|grep Before|awk '{print $4}') && mkdir -p {{ bak_dir }}/${year} && \\cp {{dst_dir}}/* {{ bak_dir }}/${year}"

ssl_update:
  file.recurse:
    - source: salt://ssl_check/ssl/{{domain}}
    - name: {{ dst_dir }}
    - require:
      - cmd: backup_ssl


nginx_reload:
  cmd.run:
    - name: /usr/local/nginx/sbin/nginx -t && /usr/local/nginx/sbin/nginx -s reload
    - require:
      - file: ssl_update

首先是變數的定義

{% set domain = 'doamin1' %}
{% set ssl_dir = '/usr/local/nginx/ssl' %}
{% set dst_dir = ssl_dir + '/' + domain %}
{% set bak_dir = '/opt/backup/ssl/' + domain %}
  • domain: 設置功能變數名稱為 'doamin1'
  • ssl_dir: 設置 SSL 證書存放目錄為 '/usr/local/nginx/ssl'
  • dst_dir: 設置 SSL 證書實際存放路徑為 ssl_dir + '/' + domain
  • bak_dir: 設置備份目錄為 '/opt/backup/ssl/' + domain

然後就是 SSL 證書備份。首先創建名為 backup_ssl 的命令執行模塊,通過 cmd.run 執行 shell 命令,這個命令通過 OpenSSL 獲取證書的有效期限,然後將證書拷貝到備份目錄,以年份為子目錄。

backup_ssl:
  cmd.run:
      - name: "year=$(openssl x509 -in {{ dst_dir }}/server.pem -noout -dates|grep Before|awk '{print $4}') && mkdir -p {{ bak_dir }}/${year} && \\cp {{dst_dir}}/* {{ bak_dir }}/${year}"

這條命令看著很長,其實可以拆解成

# 獲取證書有效期限然後賦值給 year 變數
year=$(openssl x509 -in {{ dst_dir }}/server.pem -noout -dates|grep Before|awk '{print $4}')

# 創建帶年份尾碼的備份目錄
mkdir -p {{ bak_dir }}/${year} 

# 把當前的證書備份到備份目錄中
cp {{dst_dir}}/* {{ bak_dir }}/${year}

接著我們開始更新 SSL 證書。創建名為 ssl_update 的文件遞歸模塊,然後通過 file.recurse 把 salt-master 上的證書複製到指定伺服器目錄

ssl_update:
  file.recurse:
    - source: salt://ssl_check/ssl/{{domain}}
    - name: {{ dst_dir }}
    - require:
      - cmd: backup_ssl

更新完之後我們還要對指定伺服器上的 Nginx 服務進行配置檢查並重啟一下

nginx_reload:
  cmd.run:
    - name: /usr/local/nginx/sbin/nginx -t && /usr/local/nginx/sbin/nginx -s reload
    - require:
      - file: ssl_update

然後我們看一下負責回滾證書的 rollback.sls,這個腳本分成了兩個個模塊:

  1. 證書回滾
  2. Nginx 重啟
{% set domain = 'doamin1' %}
{% set ssl_dir = '/usr/local/nginx/ssl' %}
{% set dst_dir = ssl_dir + '/' + domain %}
{% set bak_dir = '/opt/backup/ssl/' + domain %}
{% set year = salt['pillar.get']('year') or salt['cmd.run']('echo $(date +%Y) - 1| bc') %}


rollback:
  cmd.run:
    - name: "cp {{ bak_dir }}/$(({{ year }}))/* {{ dst_dir }}"

start:
  cmd.run:
    - name: /usr/local/nginx/sbin/nginx -t && /usr/local/nginx/sbin/nginx -s reload
    - require:
      - cmd: rollback

設置變數 year 的命令有點複雜,我們來看一下

{% set year = salt['pillar.get']('year') or salt['cmd.run']('echo $(date +%Y) - 1| bc') %}
  1. salt['pillar.get']('year'): 嘗試從 Salt Pillar 中獲取名為 year 的變數的值。
  2. or: 如果前面的操作未成功(即 year 在 Pillar 中不存在),or 後面的表達式將會被執行。
  3. salt['cmd.run']('echo $(date +%Y) - 1| bc'): 這部分代碼使用 SaltStack 的 cmd.run 模塊執行一個 shell 命令,該命令通過 date 命令獲取當前年份,然後減去 1 得到前一年的年份。bc 是一個計算器工具,用於執行數學運算。
  4. 總結一下:首先從 Salt Pillar 中查找,如果找不到則使用 shell 命令獲取前一年的年份,確保在沒有 Pillar 配置的情況下也有一個預設的年份

然後就是 SSL 證書回滾。創建名為 rollback 的命令執行模塊,通過 cmd.run 執行 shell 命令

該命令通過將指定伺服器備份目錄中指定年份的證書拷貝到 SSL 證書目錄實現回滾。

rollback:
  cmd.run:
    - name: "cp {{ bak_dir }}/$(({{ year }}))/* {{ dst_dir }}"

回滾完之後對指定伺服器上的 Nginx 服務進行配置檢查並重啟一下,上面內容有,這裡就不再介紹了。


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 前言: 之前有網友說 Mvc系列的教程對新手不友好,因此補充新手入門系列教程。 在開始使用 Taurus.Mvc 進行 Web應用開發之前,建議可以觀摩一下之前的文章:WebAPI 系列教程 因為兩者的教程,有相通的部分,唯一的差別部分,在於Web應用涉及到UI界面。 本系列的目錄大綱為: Taur ...
  • 概述:WPF通過System.Windows.Forms.Screen類,實現多屏顯示輕而易舉。通過獲取屏幕信息、確定窗體位置和設置窗體大小,可在大型展示或數據可視化應用中靈活利用多屏幕。示例代碼清晰演示瞭如何在WPF中實現這一功能。 在WPF(Windows Presentation Founda ...
  • 概述:WPF中的資源管理機制包括外部資源、窗體資源、全局資源和動態資源。通過這些資源,開發者能夠在應用程式中有效地組織、重用樣式和模板,實現靈活的設計和運行時更改。這四種資源類型分別適用於不同的應用場景,為WPF應用程式提供了強大的擴展性和可維護性。 在WPF(Windows Presentatio ...
  • 在經過漫長的技術沉澱,終於又為 .Net 及 .Net Core 的微服務系列框架貢獻當中的一個重要組件。Taurus.DistributedLock is a distributed lock for .net or .net core.【支持:Redis、MemCache、Database、Lo... ...
  • PART_LeftThumb_DragDelta事件是拖拽過程中實時觸發的。當用戶按住Thumb控制項並拖動時,該事件會在每次滑鼠或手指移動時實時觸發,而不是按照時間間隔定時觸發。這使得應用程式可以實時響應用戶的操作,更新UI或執行其他操作。 DragDeltaEventArgs.Horizontal ...
  • 在日常開發中,DataGrid作為二維表格,非常適合數據的展示和統計。通常情況下,一般都有固定的格式和確定的數據列展示,但是在某些特殊情況下,也可能會需要用到動態生成列。本文以一些簡單的小例子,簡述在WPF開發中,如何動態生成DataGrid的行和列,僅供學習分享使用,如有不足之處,還請指正。 ...
  • 概述:以上C#示例演示瞭如何使用SerialPort類實現串口數據接收。通過設置串口屬性、定義數據接收事件處理程式,你可以輕鬆地打開串口、監聽數據,併在事件處理程式中對接收到的數據進行處理。這提供了一個基本框架,可根據實際需求進行定製。 在C#中實現串口數據接收通常需要使用System.IO.Por ...
  • 一:背景 1. 講故事 過年喝了不少酒,腦子不靈光了,停了將近一個月沒寫博客,今天就當新年開工寫一篇吧。 去年年初有位朋友找到我,說他們的系統會偶發性崩潰,在網上也發了不少帖子求助,沒找到自己滿意的答案,讓我看看有沒有什麼線索,看樣子這是一個牛皮蘚的問題,既然對方有了dump,那就分析起來吧。 二: ...
一周排行
    -Advertisement-
    Play Games
  • C#.Net的BCL提供了豐富的類型,最基礎的是值類型、引用類型,而他們的共同(隱私)祖先是 System.Object(萬物之源),所以任何類型都可以轉換為Object。 ...
  • 最近有群友咨詢C#如何調用Python?小編嘗試Python.NET過程中遭遇的版本相容性和環境配置難題,小編決定尋找一個更為簡單、穩定且對初學者友好的解決方案。小編搜索一番,除了Python.NET之外,還有其他途徑能夠幫助我們輕鬆地在C#項目調用Python腳本,那就是通過命令行調用,使用 Sy ...
  • .NET中特性+反射 實現數據校驗 在.NET中,我們可以使用特性+反射來實現數據校驗。特性是一種用於為程式中的代碼添加元數據的機制。元數據是與程式中的代碼相關聯的數據,但不直接成為代碼的一部分。通過特性,我們可以為類、方法、屬性等添加額外的信息,這些信息可以在運行時通過反射獲取和使用。 對反射不太 ...
  • Biwen.Settings 是一個簡易的配置項管理模塊,主要的作用就是可以校驗並持久化配置項,比如將自己的配置存儲到資料庫中,JSON文件中等 使用上也是很簡單,只需要在服務中註入配置, 比如我們有一個GithubSetting的配置項,我們只需要定義好對象然後註入到Service中即可: [De ...
  • EDP是一套集組織架構,許可權框架【功能許可權,操作許可權,數據訪問許可權,WebApi許可權】,自動化日誌,動態Interface,WebApi管理等基礎功能於一體的,基於.net的企業應用開發框架。通過友好的編碼方式實現數據行、列許可權的管控。 ...
  • 前言 VB.NET,全名Visual Basic .NET,是Microsoft .NET框架的一部分,是一種面向對象的編程語言。它繼承了Visual Basic的易用性,同時增加了對面向對象編程的支持。VB.NET提供了大量的內置函數,使得開發者可以更容易地處理字元串、數學計算、文件和目錄訪問等任 ...
  • 自定義可移動點二維坐標軸控制項 目錄 路由參數 坐標軸控制項定義 Demo 路由參數 X_YResultCollection為當前X軸對應Y軸值存儲字典 public class ResultCollectionChangedEventArgs(RoutedEvent routedEvent, obje ...
  • 自定義分頁控制項 tip: 該控制項的樣式用的是materialDesign庫,需要下載Nuget包 Code Xaml <UserControl x:Class="TestTool.CustomControls.PagingControl" xmlns="http://schemas.microsof ...
  • 最近群里有個小伙伴把Dapper遷移SqlSugar幾個不能解決的問題進行一個彙總,我正好寫一篇文章來講解一下 一、sql where in傳參問題: SELECT * FROM users where id IN @ids 答: SqlSugar中應該是 var sql="SELECT * FRO ...
  • 安裝nuget包 Wesky.Net.OpenTools 1.0.8或以上版本。支持.net framework 4.6以上版本,以及所有.net core以及以上版本引用。 開發一個簡單的Winform界面,用來測試使用。如需該winform的demo,可以在公眾號【Dotnet Dancer】後 ...