Ubuntu 20.04安装CFEngine社区版：详细指南与最佳实践

引言

CFEngine 是一款可扩展的IT基础设施配置管理工具。它允许您使用相同的工具和策略语言来管理基础设施中的所有内容，包括：Linux、Mac、Windows、BSD、Solaris、IBM AIX、HP-UX以及其他系统。您只需在每台需要管理的机器上安装一个用 C 语言编写的代理程序。CFEngine 支持多种平台，并且适用于资源受限的环境，例如大型基础设施或小型物联网 (IoT) 设备。

在本教程中，您将在 Ubuntu 20.04 上安装 CFEngine Community Edition 3.21，编写示例策略文件，并自动化您的策略运行。

先决条件

完成本教程，您需要准备以下材料：

• 一台安装了 Ubuntu 20.04 服务器，并配置了非 root 用户的 sudo 权限。您可以参考我们的指南《Ubuntu 20.04 初始服务器设置》来完成此步骤。
• 一种运行 shell 命令（包括 sudo）的方式，例如 SSH。
• 一个文本编辑器。本教程使用 nano。

第一步 — 安装 CFEngine

在这个步骤中，您将使用 apt 和软件包仓库安装 CFEngine。使用 apt 进行安装的主要优势是以后可以使用 apt 来更新 CFEngine。

CFEngine 还有其他安装方式，适用于不同的使用场景：

• cf-remote 是一个灵活的选择，支持在多台机器上安装、不同版本的 CFEngine 以及每夜构建版本。
• 快速安装 shell 脚本 是单机安装的良好选择。您只需将一个命令复制到终端即可完成安装。
• 您也可以直接从官方网站下载软件包。

如果您使用这些替代方法之一来安装 CFEngine 社区版或企业版，请跳到“第二步 — 启动 CFEngine”，或者在引导之后转到“第三步 — 创建您的第一个策略”。

添加 CFEngine 的公钥

要使用 apt 安装 CFEngine，需要使 apt 能够访问存储库。第一步是将 CFEngine 公共 GPG 密钥添加到 apt 密钥集合中，以便 apt 可以信任存储库中的软件包。

使用以下命令下载密钥：

1. wget https://cfengine.com/pub/gpg.key -O ~/cfengine-gpg.key

然后使用 apt-key 添加它：

1. sudo apt-key add ~/cfengine-gpg.key

添加 CFEngine 软件包仓库

接下来，您需要使用以下命令将 CFEngine 存储库添加为 apt 源：

1. sudo sh -c “echo ‘deb https://cfengine-package-repos.s3.amazonaws.com/pub/apt/packages stable main’ > /etc/apt/sources.list.d/cfengine-community.list”

这个命令将 CFEngine 仓库添加到 apt 源列表目录中的一个文件中。

如果没有指定 sh 参数和 -c 选项，该命令将会出现“权限被拒绝”的错误，因为 sudo 并没有执行输出重定向操作。为了解决这个问题，你可以使用 sh 命令通过 sudo 运行一个 shell，并通过 -c 选项将命令传递给它。

现在，运行更新命令，使 apt 能够看到来自 CFEngine 仓库的新包：

1. sudo apt update

使用 apt 安装软件包

现在 CFEngine 软件包已经在 apt 中注册，您可以使用 apt 安装 CFEngine：

1. sudo apt install cfengine-community

如果您收到关于该软件包在不同（较旧）操作系统上构建的警告，您可以忽略它。该软件包仍然可以正常使用。

验证安装

当安装完成后，您将在 /var/cfengine/bin 中看到组成 CFEngine 的各个组件。其中，代理（cf-agent）是您将最常与之互动的组件。该二进制文件评估您编写的策略，对系统进行更改，并记录所执行的操作。默认情况下，代理将每五分钟唤醒一次，如果需要，获取新的策略并强制执行。

请使用以下命令来检查代理程序是否成功安装：

1. sudo cf-agent –version

版本号将被打印到屏幕上。

第二步 — 启动 CFEngine

要启动 CFEngine，您需要引导代理。使用以下命令来执行此操作：

1. sudo cf-agent –bootstrap 127.0.0.1

这个命令告诉代理启动 CFEngine 组件，并从本机（127.0.0.1）获取策略。

将来，您将希望多台机器从同一台服务器中获取策略。在这种情况下，127.0.0.1 将被该服务器的 IP 地址所代替。然而，在本教程中为了入门和学习 CFEngine，您将只使用一台机器和 127.0.0.1。

您现在已经在服务器上安装并运行了 CFEngine。下一步是开始编写策略。

第三步 — 创建您的第一个策略

这是文章《Ubuntu 20.04安装CFEngine社区版指南》的第2部分（共4部分）。

使用CFEngine自动化系统管理任务时，您将创建一个策略文件，该文件使用CFEngine自己的领域专用语言（DSL）编写。要了解有关策略语言的更多信息，例如其功能和结构，可以查阅CFEngine参考文档。

策略文件与脚本不同，它们是声明性的：您描述系统的期望状态，CFEngine将检查是否已达到该状态，并仅在必要时进行更改。一些可能需要在策略中表达的示例有：

• 确保用户sammy存在。
• 保持curl软件包更新（并已安装）。
• 确保telnet未安装。
• 根据模板和数据渲染脚本文件。
• 如果httpd等进程正在运行，则停止它。
• 对/usr/bin文件夹强制执行严格权限。

在所有这些情况下，您都需要编写策略并将其放置在服务器的正确位置（/var/cfengine/masterfiles）。然后，CFEngine会：

• 通过将策略文件传输到其他已引导的主机来自动化策略分发。
• 定期执行您的要求（默认情况下每五分钟运行一次策略）。例如，如果有人删除了用户sammy，或更改了/usr/bin的权限，这些更改将在五分钟内自动恢复。
• 仅在必要时进行更改，例如写入文件（即，如果状态尚未达到期望）。
• 为您处理许多平台差异（例如，用于安装软件包、创建用户和其他操作的命令因操作系统而异）。

在这一步骤中，您将创建一个“Hello World”策略，将文本“Hello！”输出到终端上。

使用nano或您最喜欢的文本编辑器创建一个新文件，~/hello_world.cf。

1. nano ~/hello_world.cf

在文件中添加以下内容。

bundle agent main
{
  reports:
    "Hello!";
}

CFEngine的策略是声明性的，不是从上到下进行评估。

在CFEngine策略语言中，您对所管理内容的每个声明都被称为“承诺”（promise）。承诺被组织成“捆绑”（bundle）。捆绑非常有用，因为它们允许您选择运行策略的哪些部分（以及哪些部分不运行）以及它们的运行顺序。

在这个策略中，reports是一种承诺类型，负责将消息打印到终端。在bundle之后使用了agent关键字，表示这个捆绑是供cf-agent组件使用的。这个捆绑的名称是main。捆绑序列指定了要评估的捆绑。默认情况下，它包含了main捆绑，所以您不需要改动它。

保存并关闭文件。在使用nano时，按下CTRL+X退出，按Y保存，按ENTER确认文件名并关闭文件。

由于CFEngine通常以root用户身份运行，所以它试图通过对策略文件要求严格权限来防止未经授权的系统更改。（允许其他用户编辑CFEngine运行的策略文件将使他们能够以特权用户的身份对系统进行更改）您可以使用chmod来编辑文件权限，从而防止其他用户编辑此文件。

1. chmod 600 hello_world.cf

运行该策略时，请使用以下命令：

1. sudo cf-agent ~/hello_world.cf

CFEngine代理程序根据主名称找到您的捆绑，检查其中的承诺并评估它们。在评估承诺时，代理程序会检查是否需要对系统进行修改。在这种情况下，只有一个承诺，代理程序确定需要在终端打印一条消息来满足它。

您将收到以下输出：

bundle agent manage_my_file
{
  files:
    "/tmp/my_file.txt"
      content => "Hello, CFEngine!$(const.n)";
}

{
  "inputs": [ "services/file_management.cf" ],
  "vars": {
    "control_common_bundlesequence_end": [ "manage_my_file" ]
  }
}