配置管理：基于推送与拉取的拓扑

Question 1

基于推送的系统的问题在于你必须在中央推送节点上拥有整个架构的完整模型。你无法将数据推送到你不了解的机器上。

它显然可以起作用，但要保持同步则需要做大量的工作。

使用 Mcollective 之类的工具，您可以将 Puppet 和其他 CM 转换为基于推送的系统。通常，将拉动系统转换为基于推送的系统很简单，但反过来却并不总是那么简单。

还有组织政治的问题。基于推送的系统将所有控制权都交给中央管理员。以这种方式管理复杂性可能非常困难。我认为扩展问题是一个转移注意力的话题，如果你只看客户端数量，这两种方法都可以扩展。在许多方面，推送更容易扩展。然而，动态配置或多或少意味着你至少有一个客户端注册的拉动版本。

最终，这取决于哪种系统适合您组织的工作流程和所有权。一般来说，拉动系统更灵活。

Answer

基于推送的系统的问题在于你必须在中央推送节点上拥有整个架构的完整模型。你无法将数据推送到你不了解的机器上。

它显然可以起作用，但要保持同步则需要做大量的工作。

使用 Mcollective 之类的工具，您可以将 Puppet 和其他 CM 转换为基于推送的系统。通常，将拉动系统转换为基于推送的系统很简单，但反过来却并不总是那么简单。

还有组织政治的问题。基于推送的系统将所有控制权都交给中央管理员。以这种方式管理复杂性可能非常困难。我认为扩展问题是一个转移注意力的话题，如果你只看客户端数量，这两种方法都可以扩展。在许多方面，推送更容易扩展。然而，动态配置或多或少意味着你至少有一个客户端注册的拉动版本。

最终，这取决于哪种系统适合您组织的工作流程和所有权。一般来说，拉动系统更灵活。

Question 2

如果有人对此感兴趣，我想我至少可以提供一份用户体验报告，这是我第一次在 Amazon 云中任务关键型系统的多主机设置补丁管理环境中使用 Ansible 的开箱即用推送功能。为了理解我的先入之见或偏见，我应该解释一下，我在自动化脚本级别上偏爱 Ruby，并且过去曾设置项目使用主代理 puppet 配置每个项目 Vpc。因此，我的经验掩盖了过去的偏见（如果有的话）。

我最近的经验非常有利于动态推送到不断变化的服务器，这些服务器从几十台到几百台，可以扩大或缩小规模，终止和刷新。在我的情况下，一个简单的 Ansible 1.7 临时命令就是我制作补丁所需的全部内容。然而，考虑到为此目的在每个 Vpc 上设置一个 AnsibleController（在 t2.micro 上）的有效性，我打算在未来扩展该技术以满足更复杂的要求。

因此，让我回到这个主题中提出的问题：在动态变化的庄园中推动的利与弊。

我针对的服务器类型的假设是：

不假设 IP 地址或亚马逊生成的本地主机名会长期存在 - 它们可以随时更换
所有实例都是从机器映像创建的，这些映像已经能够让单个特权管理用户进行 ssh 访问
为了根据功能或开发阶段（例如测试或生产）对服务器进行单独划分，并可能将其划分为组，这将通过启动约定的常规名称的特定 Amazon 标签来实现
我将使用不同的临时命令分别对 Linux 和 Windows 服务器进行补丁管理，因此在连接 Windows 服务器时，只需允许 Linux 特定的登录失败，这是完全可以接受的

考虑到这些条件，创建 AnsibleController 的机器映像以放入众多 Vpc 并在现有服务器帐户中现场配置（使用凭据）非常简单。在从映像创建的每个实例中自动执行的是

一个 cron 任务，用于定期将补丁推送到正在运行的服务器，以便定期持续访问所需的资产
在每个这样的间隔内计算 Ansible 库存的方法。

如果需要，第二项可以做得相对复杂（通过 Ansible 清单的信息结构）。但如果不需要复杂，这里有一个非常简单的脚本示例，用于在每个 cron 间隔计算所有 Amazon EC2 实例，并将结果定向到适当的清单文件（例如 /etc/ansible/hosts）...

#!/bin/bash
# Assumes aws-cli/1.3.4 Python/2.6.9 Linux/3.4.73-64.112.amzn1.x86_64 or greater
# http://aws.amazon.com/releasenotes/8906204440930658
# To check yum list aws-cli
# Assumes that server is equipped with AWS keys and is able to access some or all
# instances in the account within it is running.
# Provide a list of host IPs each on a separate line
# If an argument is passed then treat it as the filename, whether local or absolute 
# path, to which the list is written

function list-of-ips {
    /usr/bin/aws ec2 describe-instances --filters '[ {"Name": "instance-state-code", "Values": [ "16" ] } ]' | grep -w PrivateIpAddress | awk  '{x=$2; gsub("\"","", x); gsub(",","", x); if(x && FNR!=1){print x;}}' | uniq
 }

if [ -n "$1" ]; then
   list-of-ips > "$1"
else
   list-of-ips
fi

用例的唯一警告是补丁命令应该是幂等的。最好进行预先测试以确保满足这一点，作为确保补丁完全按照预期执行的一部分。

总而言之，我已说明了一个用例，其中动态推送对于我设定的目标很有效。它是一种可重复的解决方案（封装在可在多个帐户和区域中推出的映像中）。根据我迄今为止的经验，动态推送技术比我们目前可用的工具集中提供的替代方案更容易提供和实施。

Answer