在 Amazon Web Services 上部署和管理 RHEL

流程

1. 安装 Python 3 和 pip 工具：

   # dnf install python3 python3-pip

2. 使用 pip 安装 AWS 命令行工具 ：

   # pip3 install awscli

3. 设置您的配置文件。终端提示您提供凭证、地区和输出格式：

   $ aws configure
   AWS Access Key ID [None]:
   AWS Secret Access Key [None]:
   Default region name [None]:
   Default output format [None]:

4. 为存储桶定义名称并创建一个存储桶：

   $ BUCKET=bucketname
   $ aws s3 mb s3://$BUCKET

   使用实际的存储桶名称替换 bucketname。它必须是全局唯一的名称。因此，您的存储桶会被创建。

5. 要授予访问 S3 存储桶的权限，如果您还没有这样做，请在 AWS Identity and Access Management (IAM) 中创建一个 vmimport S3 角色：

   1. 创建一个 JSON 格式的带有信任策略配置的 trust-policy.json 文件。例如：

      {
          "Version": "2022-10-17",
          "Statement": [{
              "Effect": "Allow",
              "Principal": {
                  "Service": "vmie.amazonaws.com"
              },
              "Action": "sts:AssumeRole",
              "Condition": {
                  "StringEquals": {
                      "sts:Externalid": "vmimport"
                  }
              }
          }]
      }

   2. 创建一个 JSON 格式的带有角色策略配置的 role-policy.json 文件。例如：

      {
          "Version": "2012-10-17",
          "Statement": [{
              "Effect": "Allow",
              "Action": ["s3:GetBucketLocation", "s3:GetObject", "s3:ListBucket"],
              "Resource": ["arn:aws:s3:::%s", "arn:aws:s3:::%s/"] }, { "Effect": "Allow", "Action": ["ec2:ModifySnapshotAttribute", "ec2:CopySnapshot", "ec2:RegisterImage", "ec2:Describe"],
              "Resource": "*"
          }]
      }
      $BUCKET $BUCKET

   3. 使用 trust-policy.json 文件为您的 Amazon Web Services 帐户创建一个角色：

      $ aws iam create-role --role-name vmimport --assume-role-policy-document file://trust-policy.json

   4. 使用 role-policy.json 文件嵌入一个内联策略文档：

      $ aws iam put-role-policy --role-name vmimport --policy-name vmimport --policy-document file://role-policy.json

流程

1. 使用文本编辑器，使用以下内容创建配置文件：

   provider = "aws"
   [settings]
   accessKeyID = "AWS_ACCESS_KEY_ID"
   secretAccessKey = "AWS_SECRET_ACCESS_KEY"
   bucket = "AWS_BUCKET"
   region = "AWS_REGION"
   key = "IMAGE_KEY"

   将字段中的值替换为您的 accessKeyID、secretAccessKey、bucket 和 region 的凭证。IMAGE_KEY 值是要上传到 EC2 的虚拟机镜像的名称。

2. 将文件保存为 configuration_file.toml，并关闭文本编辑器。

3. 启动 compose 来将其上传到 AWS：

   # composer-cli compose start blueprint-name image-type image-key configuration-file.toml

   替换：

   • 带有您创建的蓝图名称的 blueprint-name。
   • 带有 ami 镜像类型的 image-type。
   • 带有要上传到 EC2 的虚拟机镜像名称的 image-key。

   • 使用云供应商的配置文件的名称替换 configuration-file.toml。

     注意

     您必须有要将自定义镜像发送到的存储桶的正确 AWS 身份和访问管理(IAM)设置。在将镜像上传到存储桶前，您必须对存储桶设置策略。

4. 检查镜像构建的状态：

   # composer-cli compose status

   上传镜像过程完成后，您可以看到 FINISHED 状态。

验证

1. 通过访问菜单中的 EC2，并在 AWS 控制台中选择正确的区域来确认镜像上传成功。镜像必须具有 available 状态，以指示它已被成功上传。
2. 在仪表盘上，选择您的镜像并点击 Launch。

流程

1. 在 RHEL 镜像构建器仪表盘中，点之前创建的 blueprint name。
2. 选择 Images 选项卡。

3. 点 Create Image 创建自定义镜像。

   Create Image 窗口打开。

   1. 在 Type 下拉菜单中选择 Amazon Machine Image Disk (.raw)。
   2. 选中 Upload to AWS 复选框，将您的镜像上传到 AWS 云，然后点 Next。

   3. 要验证您是否可以访问 AWS ，请在对应的字段中输入您的"AWS access key ID"和"AWS secret access key"。点 Next。

      注意

      您只能在创建新 Access Key ID 时查看 AWS secret access key 。如果您不知道您的 Secret Key，请生成一个新的 Access Key ID。

   4. 在 Image name 字段中输入镜像名称，在 Amazon S3 bucket name 字段中输入 Amazon bucket 名称，并为您要添加自定义镜像的存储桶输入 AWS region 字段。点 Next。

   5. 查看信息并点 Finish。

      可选，点 Back 来修改任何不正确的详情。

      注意

      您必须具有要发送自定义镜像的存储桶的正确 IAM 设置。此流程使用 IAM 导入和导出，因此您必须在将镜像上传到存储桶前为存储桶设置 策略。如需更多信息，请参阅 IAM 用户所需的权限。

4. 右上角的弹出窗口告诉您保存的进度。它还告知镜像创建过程、创建此镜像的过程以及后续的上传到 AWS Cloud。

   完成这个过程后，您可以看到 镜像构建完成状态。

5. 在浏览器中，访问 Service→EC2。

   1. 在 AWS 控制台仪表盘菜单中，选择 correct region。镜像必须具有 Available 状态，以指示它已被上传。
   2. 在 AWS 仪表盘上，选择您的镜像并点 Launch。
6. 此时会打开一个新窗口。根据启动镜像所需的资源选择实例类型。点 Review and Launch。
7. 查看您的实例启动详情。如果需要进行任何更改，您可以编辑任何部分。点击 Launch。

8. 在启动实例之前，选择一个访问它的公钥。

   您可以使用您已有的密钥对，也可以创建一个新的密钥对。

   按照以下步骤在 EC2 中创建新的密钥对，并将它连接到新实例。

   1. 在下拉菜单中选择 "Create a new key pair"。
   2. 输入新密钥对名称。它生成一个新的密钥对。
   3. 点 "下载密钥对" 在您的本地系统中保存新密钥对。

9. 然后，您可以点 Launch Instance 启动您的实例。

   您可以检查实例的状态，它显示为 Initializing。

10. 实例状态变为 running 后，连接按钮将变为可用。

11. 点 连接。此时会显示一个窗口，其中包含如何使用 SSH 连接的说明。

    1. 选择 A standalone SSH client 作为首选连接方法并打开终端。

    2. 在您存储私钥的位置，确保您的密钥是公开可见的，以便 SSH 可以正常工作。要做到这一点，请运行以下命令：

       $ chmod 400 <your_instance_name>.pem

    3. 使用其公共 DNS 连接到您的实例：

       $ ssh -i <your-instance_name>.pem ec2-user@<your-instance-IP-address>

    4. 键入 yes 以确认您要继续连接。

       因此，您通过 SSH 连接到您的实例。

流程

1. 配置 Red Hat Enterprise Linux (RHEL)虚拟机：

   1. 要从命令行(CLI)安装，请确保您根据虚拟机的要求设置了默认内存、网络接口和 CPU。详情请参阅 使用命令行创建虚拟机
   2. 要从 web 控制台安装，请参阅 使用 web 控制台创建虚拟机

2. 当安装开始时：

   1. 创建 root 密码.
   2. 创建管理用户帐户。
3. 安装完成后，重启虚拟机并登录到 root 帐户。
4. 以 root 身份登录后，您可以配置镜像。

5. 注册虚拟机并启用 RHEL 存储库：

   # subscription-manager register

6. 对于 AMD64 或 Intel 64 (x86_64)虚拟机，请安装 nvme、xen-netfront 和 xen-blkfront 驱动程序：

   # dracut -f --add-drivers "nvme xen-netfront xen-blkfront"

7. 对于 ARM 64 (aarch64)虚拟机，请安装 nvme 驱动程序：

   # dracut -f --add-drivers "nvme"

   包括这些驱动程序可防止 dracut 超时。

   或者，您可以将驱动程序添加到 /etc/dracut.conf.d/，然后输入 dracut -f 来覆盖现有的 initramfs 文件。

流程

1. 删除 AWS Red Hat Update Infrastructure (RHUI)客户端。

   $ sudo -i
   # dnf -y remove rh-amazon-rhui-client

2. 在红帽注册虚拟机。

   # subscription-manager register

3. 禁用所有软件仓库。

   # subscription-manager repos --disable=

4. 启用 RHEL 10 服务器 HA 存储库。

   # subscription-manager repos --enable=rhel-10-for-x86_64-highavailability-rpms

5. 更新 RHEL AWS 实例。

   # dnf update -y

6. 安装 Red Hat High Availability Add-On 软件包，以及来自 High Availability 渠道的 AWS 隔离代理。

   # dnf install pcs pacemaker fence-agents-aws

7. 用户 hacluster 在上一步中的 pcs 和 pacemaker 安装过程中创建。在所有群集节点上为 hacluster 创建密码。所有节点都使用相同的密码。

   # passwd hacluster

8. 如果安装了 firewalld.service，请在 RHEL Firewall 中添加 high availability 服务。

   # firewall-cmd --permanent --add-service=high-availability
   # firewall-cmd --reload

9. 启动 pcs 服务，并使其在引导时启动。

   # systemctl start pcsd.service
   # systemctl enable pcsd.service

10. 编辑 /etc/hosts ，并添加 Red Hat Enterprise Linux (RHEL)主机名和内部 IP 地址。详情请参阅如何在 RHEL 集群节点上设置 /etc/hosts 文件？

流程

1. 在要运行 pcs 的节点上，为集群中的每个节点验证 pcs 用户 hacluster。

   以下命令在 z1.example.com 上为双节点集群（由 z1.example.com 和 z2.example.com 组成）中的两个节点验证用户 hacluster。

   [root@z1 ~]# pcs host auth z1.example.com z2.example.com
   Username: hacluster
   Password:
   z1.example.com: Authorized
   z2.example.com: Authorized

2. 从 z1.example.com 执行以下命令，以创建由 z1.example.com 和 z2.example.com 组成的双节点集群 my_cluster。这会将集群配置文件传播到集群中的两个节点。此命令包含 --start 选项，该选项将在集群的两个节点上启动群集服务。

   [root@z1 ~]# pcs cluster setup my_cluster --start z1.example.com z2.example.com

3. 在节点引导时，启用集群服务在集群中的每个节点上运行。

   注意

   对于特定环境，您可以跳过这一步来禁用集群服务。这可让您确保在节点重新加入集群前解决集群或您的资源中的任何问题。如果禁用了集群服务，则需要在重新引导节点时手动启动该服务，方法是在该节点上执行 pcs cluster start 命令。

   [root@z1 ~]# pcs cluster enable --all

4. 使用 pcs cluster status 命令显示您创建的集群的状态。因为在使用 pcs cluster setup 命令的 --start 选项启动集群服务时，集群启动和运行可能有一些延迟，所以您应该确保在集群及其配置上执行后续操作前集群已启动并运行。

   [root@z1 ~]# pcs cluster status
   Cluster Status:
    Stack: corosync
    Current DC: z2.example.com (version 2.0.0-10.el8-b67d8d0de9) - partition with quorum
    Last updated: Thu Oct 11 16:11:18 2018
    Last change: Thu Oct 11 16:11:00 2018 by hacluster via crmd on z2.example.com
    2 Nodes configured
    0 Resources configured
   
   ...

流程

1. 在 us-east-1a 可用区中创建一个共享块卷：

   $ aws ec2 create-volume --availability-zone <us_east_1a> --no-encrypted --size <1024> --volume-type <io1> --iops <51200> --multi-attach-enabled
   
   {
       "AvailabilityZone": "us-east-1a",
       "CreateTime": "2020-08-27T19:16:42.000Z",
       "Encrypted": false,
       "Size": 1024,
       "SnapshotId": "",
       "State": "creating",
       "VolumeId": "vol-042a5652867304f09",
       "Iops": 51200,
       "Tags": [ ],
       "VolumeType": "io1"
   }

2. 对于集群中的每个实例，附加一个共享块卷。使用 <instance_id> 和 <volume_id>，如 vol-042a5652867304f09 和 instance id i-0eb803361c2c887f2 ：

   $ aws ec2 attach-volume --device /dev/xvdd --instance-id i-0eb803361c2c887f2 --volume-id vol-042a5652867304f09
   
   {
       "AttachTime": "2020-08-27T19:26:16.086Z",
       "Device": "/dev/xvdd",
       "InstanceId": "i-0eb803361c2c887f2",
       "State": "attaching",
       "VolumeId": "vol-042a5652867304f09"
   }

验证

1. 对集群中的每个实例使用 ssh 命令和您的实例 IP 198.51.100.3 来验证块设备是否可用：

   # ssh 198.51.100.3 "hostname ; lsblk -d | grep ' 1T '"
   
   node a
   nvme2n1 259:1    0   1T  0 disk

2. 使用 ssh 命令验证集群中的每个实例是否使用相同的共享磁盘：

   # ssh 198.51.100.3 "hostname ; lsblk -d | grep ' 1T ' | awk '{print \$1}' | xargs -i udevadm info --query=all --name=/dev/{} | grep '^E: ID_SERIAL='"
   
   nodea
   E: ID_SERIAL=Amazon Elastic Block Store_vol0fa5342e7aedf09f7

先决条件

1. RHEL AMI 在引导设置中启用了 uefi-preferred 选项：

   $ aws ec2 describe-images --image-id <ami-099f85fc24d27c2a7> --region <us-east-2> | grep -E '"ImageId"|"Name"|"BootMode"'
   
   "ImageId": "ami-099f85fc24d27c2a7",
   "Name": "RHEL-10.0.0_HVM_GA-20250423-x86_64-0-Hourly2-GP3",
   "BootMode": "uefi-preferred"

2. 您已在 RHEL 实例上安装了以下软件包：

   • awscli2
   • python3
   • openssl
   • efivar
   • keyutils
   • edk2-ovmf
   • python3-virt-firmware

流程

1. 检查 RHEL Marketplace AMI 实例的平台状态：

   $ mokutil --sb-state
   
   SecureBoot disabled
   Platform is in Setup Mode

   setup 模式允许在实例中更新安全引导 UEFI 变量。

2. 创建一个新的随机通用唯一标识符(UUID)，并将其存储在一个系统生成的文本文件中：

   $ uuidgen --random > GUID.txt

3. 为平台密钥数据库生成一个新的 PK.key RSA 私钥和自签名 PK.cer X.509 证书：

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout PK.key \
   -new -x509 -sha256 \
   -days 3650 \
   -subj "/CN=Platform key/" \
   -outform DER -out PK.cer

   openssl 工具通过将输出格式设置为可辨识的编码规则(DER)来为证书生成一个通用名称 Platform key。

4. 为密钥交换密钥数据库生成一个新的 KEK.key RSA 私钥和自签名 KEK.cer X.509 证书：

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout KEK.key \
   -new -x509 -sha256 \
   -days 3650 \
   -subj "CN=Key Exchange Key/" \
   -outform DER -out KEK.cer

5. 生成一个 custom_db.cer 自定义证书：

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout custom_db.key \
   -new -x509 -sha256 \
   -days 3650 \
   -subj "/CN=Signature Database key/" \
   --outform DER -out custom_db.cer

6. 下载 Microsoft Corporation UEFI CA 2011 证书：

   $ wget https://go.microsoft.com/fwlink/p/?linkid=321194 --user-agent="Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2704.103 Safari/537.36" -O MicCorUEFCA2011_2011-06-27.crt

7. 为 x64 位系统下载更新的禁止签名的 UEFI 撤销列表文件(dbx)：

   $ wget https://uefi.org/sites/default/files/resources/x64_DBXUpdate.bin

8. 使用 virt-fw-vars 工具生成 UEFI 变量文件：

   $ virt-fw-vars --set-pk "$(< GUID.txt)" PK.cer \
   --add-kek "$(< GUID.txt)" KEK.cer \
   --add-db "$(< GUID.txt)" custom_db.cer \
   --add-db 77fa9abd-0359-4d32-bd60-28f4e78f784b MicCorUEFCA2011_2011-06-27.crt \
   --set-dbx DBXUpdate.bin -i /usr/share/edk2/ovmf/OVMF_VARS.secboot.fd \
   --output VARS

   详情请查看您系统上的 virt-fw-vars (1) 手册页。

9. 将 UEFI 变量转换为可扩展固件接口(EFI)签名列表(ESL)格式：

   $ python3 /usr/share/doc/python3-virt-firmware/experimental/authfiles.py \
   --input VARS \
   --outdir .
   $ for f in PK KEK db dbx; do tail -c +41 $f.auth > $f.esl; done

   注意

   每个 GUID 是一个分配的值，代表一个 EFI 参数

   • 8be4df61-93ca-11d2-aa0d-00e098032b8c: EFI_GLOBAL_VARIABLE_GUID
   • d719b2cb-3d3a-4596-a3bc-dad00e67656f: EFI_IMAGE_SECURITY_DATABASE_GUID

   EFI_GLOBAL_VARIABLE_GUID 参数维护可引导设备和引导管理器的设置，而 EFI_IMAGE_SECURITY_DATABASE_GUID 参数代表安全引导变量 db, dbx 的镜像安全数据库，以及所需密钥和证书的存储。

10. 将数据库证书传到目标实例，使用 efivar 工具来管理 UEFI 环境变量。

    1. 要传输 PK.esl，请输入：

       # efivar -w -n 8be4df61-93ca-11d2-aa0d-00e098032b8c-PK -f PK.esl

    2. 要传输 KEK.esl，请输入：

       # efivar -w -n 8be4df61-93ca-11d2-aa0d-00e098032b8c-KEK -f KEK.esl

    3. 要传输 db.esl，请输入：

       # efivar -w -n d719b2cb-3d3a-4596-a3bc-dad00e67656f-db -f db.esl

    4. 要传输 x64 架构的 dbx.esl UEFI 撤销列表文件，请输入：

       # efivar -w -n d719b2cb-3d3a-4596-a3bc-dad00e67656f-dbx -f dbx.esl

11. 从 AWS 控制台重启实例。

验证

1. 验证是否启用了安全引导：

   $ mokutil --sb-state
   
   SecureBoot enabled

2. 使用 keyctl 工具验证自定义证书的内核 keyring ：

   $ sudo keyctl list %:.platform
   
   4 keys in keyring:
   786569360: ---lswrv     0     0 asymmetric: Signature Database key: 5856827178d376838611787277dc1d090c575759
   ...

先决条件

1. 您已创建了并上传了一个 AWS AMI 镜像。详情请参阅 准备和上传 AWS AMI。

2. 您已安装了以下软件包：

   • awscli2
   • python3
   • openssl
   • efivar
   • keyutils
   • python3-virt-firmware

流程

1. 创建一个新的随机通用唯一标识符(UUID)，并将其存储在一个系统生成的文本文件中：

   $ uuidgen --random > GUID.txt

2. 为平台密钥数据库生成一个新的 RSA 私钥 PK.key 和自签名 X.509 证书 PK.cer ：

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout PK.key \
   -new -x509 -sha256 \
   -days 3650 \
   -outform DER -out PK.cer

   openssl 工具通过将输出格式设置为可辨识的编码规则(DER)来为证书生成一个通用名称平台密钥。

3. 为密钥交换密钥数据库生成一个新的 RSA 私钥 KEK.key 和自签名 X.509 证书 KEK.cer ：

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout KEK.key \
   -new -x509 -sha256 \
   -days 3650 \
   -subj "/CN=Key Exchange Key/" \
   -outform DER -out KEK.cer

4. 生成一个自定义证书 custom_db.cer ：

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout custom_db.key \
   -new -x509 -sha256 \
   -days 3650 -subj "/CN=Signature Database key/" \
   --outform DER -out custom_db.cer

5. 为 64 位系统下载更新的禁止签名的 UEFI 撤销列表文件(dbx)：

   $ wget https://uefi.org/sites/default/files/resources/x64_DBXUpdate.bin

6. 使用 virt-fw-vars 工具从密钥、数据库证书和 UEFI 变量存储生成 aws_blob.bin 二进制文件：

   $ virt-fw-vars --output-aws aws_blob.bin \
   --set-pk "$(< GUID.txt)" PK.cer \
   --add-kek "$(< GUID.txt)" KEK.cer \
   --add-db "$(< GUID.txt)" custom_db.cer \
   --add-db 77fa9abd-0359-4d32-bd60-28f4e78f784b MicCorUEFCA2011_2011-06-27.crt \
   --set-dbx x64_DBXUpdate.bin

   自定义 blob 由以下几项组成：

   • 带有自签名 X.509 证书的 PK.cer
   • 具有所有者组 GUID 和 Privacy Enhanced Mail (pem)格式的 KEK.cer 和 custom_db.cer
   • 从排除签名的数据库下载的 x64_DBXUpdate.bin 列表(dbx)。
   • 77fa9abd-0359-4d32-bd60-28f4e78f784b UUID 适用于 MicCorUEFCA2011_2011-06-27.crt Microsoft Corporation UEFI 认证机构 2011。

7. 使用 awscli2 工具从带有所需的安全引导变量的磁盘快照创建并注册 AMI：

   $ aws ec2 register-image \
   --name rhel-10.0-secure-boot \
   --architecture x86_64 \
   --virtualization-type hvm \
   --root-device-name "/dev/sda1" \
   --block-device-mappings "{\"DeviceName\": \"/dev/sda1\",\"Ebs\": {\"SnapshotId\": \"<snap-02d4db3813ff9b98e>\"}}" \
   --ena-support --boot-mode uefi \
   --region eu-central-1 \
   --uefi-data $(cat aws_blob.bin)
   {
       "ImageId": "<ami-09125e5689d5fdf2b>"
   }

8. 从 AWS 控制台重启实例。

验证

1. 验证安全引导功能：

   $ mokutil --sb-state
   SecureBoot enabled

2. 使用 keyctl 工具验证自定义证书的内核 keyring ：

   $ sudo keyctl list %:.platform
   
   4 keys in keyring:
   216534498: ---lswrv     0     0 asymmetric: Signature Database key: 5856827178d376838611787277dc1d090c575759
   ...