15.3. 使用带有 TLS 的 logging RHEL 系统角色

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configure remote logging solution using TLS for secure transfer of logs
     hosts: managed-node-01.example.com
     tasks:
       - name: Deploying files input and forwards output with certs
         ansible.builtin.include_role:
           name: rhel-system-roles.logging
         vars:
           logging_certificates:
             - name: logging_cert
               dns: ['localhost', 'www.example.com']
               ca: ipa
           logging_pki_files:
             - ca_cert: /local/path/to/ca_cert.pem
               cert: /local/path/to/logging_cert.pem
               private_key: /local/path/to/logging_cert.pem
           logging_inputs:
             - name: input_name
               type: files
               input_log_path: /var/log/containers/*.log
           logging_outputs:
             - name: output_name
               type: forwards
               target: your_target_host
               tcp_port: 514
               tls: true
               pki_authmode: x509/name
               permitted_server: 'server.example.com'
           logging_flows:
             - name: flow_name
               inputs: [input_name]
               outputs: [output_name]

   示例 playbook 中指定的设置包括以下内容：

   logging_certificates

   此参数的值被传给 certificate RHEL 系统角色中的 certificate_requests，并用来创建私钥和证书。

   logging_pki_files

   使用这个参数，您可以配置日志记录用来查找 CA 证书和用于 TLS 的密钥文件的路径和其他设置，使用以下子参数指定：ca_cert、ca_cert_src 、cert、cert_src、private_key、private_key_src 和 tls。

   注意

   如果您使用 logging_certificates 在受管节点上创建文件，请不要使用 ca_cert_src,cert_src, 和 private_key_src，用于复制由 logging_certificates 创建的文件。

   ca_cert

   表示受管节点上 CA 证书文件的路径。默认路径为 /etc/pki/tls/certs/ca.pem，文件名由用户设置。

   cert

   表示受管节点上证书文件的路径。默认路径为 /etc/pki/tls/certs/server-cert.pem，文件名由用户设置。

   private_key

   表示受管节点上私钥文件的路径。默认路径为 /etc/pki/tls/private/server-key.pem，文件名由用户设置。

   ca_cert_src

   代表控制节点上 CA 证书文件的路径，该路径被复制到目标主机上由 ca_cert 指定的位置。如果使用 logging_certificates，请不要使用它。

   cert_src

   代表控制节点上证书文件的路径，该文件的路径被复制到目标主机上由 cert 指定的位置。如果使用 logging_certificates，请不要使用它。

   private_key_src

   代表控制节点上私钥文件的路径，该路径被复制到目标主机上由 private_key 指定的位置。如果使用 logging_certificates，请不要使用它。

   tls

   将此参数设为 true 以确保通过网络安全地传输日志。如果您不想要一个安全的包装程序，您可以设置 tls: false。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.logging/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configure remote logging solution using TLS for secure transfer of logs
     hosts: managed-node-01.example.com
     tasks:
       - name: Deploying remote input and remote_files output with certs
         ansible.builtin.include_role:
           name: rhel-system-roles.logging
         vars:
           logging_certificates:
             - name: logging_cert
               dns: ['localhost', 'www.example.com']
               ca: ipa
           logging_pki_files:
             - ca_cert: /local/path/to/ca_cert.pem
               cert: /local/path/to/logging_cert.pem
               private_key: /local/path/to/logging_cert.pem
           logging_inputs:
             - name: input_name
               type: remote
               tcp_ports: 514
               tls: true
               permitted_clients: ['clients.example.com']
           logging_outputs:
             - name: output_name
               type: remote_files
               remote_log_path: /var/log/remote/%FROMHOST%/%PROGRAMNAME:::secpath-replace%.log
               async_writing: true
               client_count: 20
               io_buffer_size: 8192
           logging_flows:
             - name: flow_name
               inputs: [input_name]
               outputs: [output_name]

   示例 playbook 中指定的设置包括以下内容：

   logging_certificates

   此参数的值被传给 certificate RHEL 系统角色中的 certificate_requests，并用来创建私钥和证书。

   logging_pki_files

   使用这个参数，您可以配置日志记录用来查找 CA 证书和用于 TLS 的密钥文件的路径和其他设置，使用以下子参数指定：ca_cert、ca_cert_src 、cert、cert_src、private_key、private_key_src 和 tls。

   注意

   如果您使用 logging_certificates 在受管节点上创建文件，请不要使用 ca_cert_src,cert_src, 和 private_key_src，用于复制由 logging_certificates 创建的文件。

   ca_cert

   表示受管节点上 CA 证书文件的路径。默认路径为 /etc/pki/tls/certs/ca.pem，文件名由用户设置。

   cert

   表示受管节点上证书文件的路径。默认路径为 /etc/pki/tls/certs/server-cert.pem，文件名由用户设置。

   private_key

   表示受管节点上私钥文件的路径。默认路径为 /etc/pki/tls/private/server-key.pem，文件名由用户设置。

   ca_cert_src

   代表控制节点上 CA 证书文件的路径，该路径被复制到目标主机上由 ca_cert 指定的位置。如果使用 logging_certificates，请不要使用它。

   cert_src

   代表控制节点上证书文件的路径，该文件的路径被复制到目标主机上由 cert 指定的位置。如果使用 logging_certificates，请不要使用它。

   private_key_src

   代表控制节点上私钥文件的路径，该路径被复制到目标主机上由 private_key 指定的位置。如果使用 logging_certificates，请不要使用它。

   tls

   将此参数设为 true 以确保通过网络安全地传输日志。如果您不想要一个安全的包装程序，您可以设置 tls: false。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.logging/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml