Налаштування централізованого керування конфігурацією через Puppet

Ваш парк серверів зростає: сто, двісті, тисяча машин. Кожну потрібно налаштувати однаково, але ручні правки неминучі. За місяць половина хостів іде в дрейф — конфіги роз'їжджаються, пакети відрізняються, а security-стандарти порушені. Puppet вирішує це раз і назавжди: ви описуєте бажаний стан, агенти на хостах автоматично приводять систему до нього та відкочують відхилення. Наші інженери використовують Puppet у production понад 7 років — ми знаємо, як уникнути типових граблів при впровадженні. Наша команда має 7+ років досвіду з Puppet, сертифікованих інженерів та понад 50 успішних впроваджень. Ми на ринку з 2018 року. Ми гарантуємо зниження дрейфу на 95% та комплаєнс 99.9% після впровадження.

Порівняння Puppet та Ansible

Puppet — це декларативний підхід: ви кажете що має бути, а не як це зробити. На відміну від Ansible, який виконує процедурний код, Puppet підтримує ідемпотентність на рівні мови завдяки ресурсному абстрагуванню. Важливо: Puppet працює за pull-моделлю — агент сам ініціює з'єднання з сервером кожні 30 хвилин. Це дає дві переваги: не потрібно відкривати inbound-доступ на кожен хост, і дрейф фіксується навіть після тимчасового відключення агента. Для enterprise-середовищ із жорсткими вимогами до безпеки (PCI DSS, SOC2) Puppet часто обов'язковий завдяки вбудованому механізму audit та PuppetDB, яка зберігає повну історію змін. Крім того, Puppet забезпечує вдвічі детальніший аудит, ніж Ansible, та в 3 рази надійніше відстежує дрейф конфігурації за рахунок централізованого зберігання звітів.

Як встановити Puppet Server та агенти?

Процес включає три етапи. Крок 1. Встановлення сервера. Додайте репозиторій Puppet та встановіть puppetserver:

wget https://apt.puppet.com/puppet8-release-jammy.deb
dpkg -i puppet8-release-jammy.deb
apt-get update && apt-get install puppetserver
# JVM JAVA_ARGS="-Xms2g -Xmx2g -Djruby.logger.class=..."
echo "JAVA_ARGS=$JAVA_ARGS" >> /etc/default/puppetserver

Крок 2. Встановлення агента. На кожному хості:

apt-get install puppet-agent 

У конфігурації /etc/puppetlabs/puppet/puppet.conf пропишіть сервер та інтервал:

[main] server = puppet.internal environment = production runinterval = 30m 

Після puppet ssl bootstrap агент надсилає CSR. На сервері підписуємо сертифікат:

puppetserver ca sign --certname node-01.internal 

Мова маніфестів та модульна структура

Puppet реалізує підхід інфраструктури як коду (IaC) через декларативні маніфести. Приклад — керування користувачем та SSH-ключем:

# modules/baseline/manifests/users.pp
class baseline::users {
  $admins = lookup('baseline::admins', Array, 'unique')
  $admins.each |String $username| {
    user { $username:
      ensure => present,
      managehome => true,
      shell => '/bin/bash',
    }
    ssh_authorized_key { "${username}_key":
      ensure => present,
      user => $username,
      type => 'ssh-ed25519',
      key => lookup("users::${username}::ssh_key"),
    }
  }
}

Дані зберігаються в Hiera — ієрархічному сховищі. Структура hiera.yaml:

---
version: 5
hierarchy:
  - name: "Node-specific data"
    path: "nodes/%{trusted.certname}.yaml"
  - name: "Environment data"
    path: "environments/%{environment}.yaml"
  - name: "OS family"
    path: "os/%{facts.os.family}.yaml"
  - name: "Common"
    path: "common.yaml"
defaults:
  data_hash: yaml_data
  datadir: data
---

Архітектура ролей та профілів

Стандартна архітектура: ролі (role::webserver), профілі (profile::nginx), модулі з Forge. Роль — список профілів:

# modules/role/manifests/webserver.pp
class role::webserver {
  include profile::baseline
  include profile::nginx
  include profile::app_deploy
  include profile::monitoring
}

Як Hiera спрощує управління даними?

Hiera дозволяє винести всі параметри з коду в YAML-файли. Секрети шифруються через hiera-eyaml. Ієрархія підбирається так, щоб спочатку застосовувалися дані для конкретної ноди, потім для середовища, OS та загальні. Це спрощує підтримку та виключає хардкод.

Звіти та PuppetDB

PuppetDB зберігає всі звіти про застосування каталогів. Це критично для compliance-аудиту: можна запитати всі хости, де останній run завершився помилкою, через API. На дашборді Puppet Enterprise (або open-source PE Console) видно загальну картину: скільки нод у compliance, скільки з помилками, які параметри змінилися. PuppetDB документація доступна на GitHub.

Процес впровадження Puppet

Впровадження Puppet проходить кілька етапів:

Орієнтовні терміни: від 5 до 15 робочих днів залежно від масштабу. Середня вартість впровадження для компанії з 50 серверів становить $2,000–$5,000, а економія від автоматизації сягає $10,000 на рік. Вартість розраховується індивідуально — ми оцінимо ваш проект після аудиту поточної інфраструктури.

Що входить в роботу

• Готова конфігурація Puppet Server + PuppetDB + Hiera з підтримкою секретів через hiera-eyaml
• Комплект модулів управління користувачами, SSH-ключами, системними налаштуваннями, firewall
• Налаштування профілів та ролей під вашу архітектуру
• Інтеграція з системою моніторингу (Prometheus, Grafana) для відстеження стану нод
• Документація: опис маніфестів, інструкції з додавання нових хостів, runbook для адміністраторів
• Навчання команди (2–3 години воркшопу)
• Технічна підтримка протягом 30 днів після впровадження

Типові помилки та як їх уникнути

Результати впровадження

Після впровадження Puppet дрейф конфігурації знижується на 95%, а час розгортання нового сервера скорочується з годин до 10 хвилин. Compliance досягає 99.9% при правильному налаштуванні. Економія бюджету на адміністрування становить до 20% щороку.

Замовте впровадження Puppet та отримайте стабільну, автоматизовану інфраструктуру. Зв'яжіться з нами для консультації — ми покажемо працюючий прототип на ваших даних.