22.6. mod_cluster HTTP Connector

1. 修改 Apache HTTP 服务器配置。

   编辑 httpd.conf Apache HTTP 服务器配置文件。使用 EnableMCPMReceive 指令，对侦听 MCPM 请求的虚拟主机进行以下更新。

   1. 添加 指令来禁用服务器公告。

      将 ServerAdvertise 指令设置为 Off 以禁用服务器公告。

      ServerAdvertise Off

   2. 禁用广播频率。

      如果您的配置指定了 AdvertiseFrequency 参数，请使用 # 字符注释掉它。

      # AdvertiseFrequency 5

   3. 启用接收 MCPM 消息的功能。

      确保 EnableMCPMReceive 指令存在，以允许 web 服务器从 worker 节点接收 MCPM 信息。

      EnableMCPMReceive

2. 禁用 JBoss EAP modcluster 子系统中的广告。

   使用以下管理 CLI 命令禁用广告：

   /profile=full-ha/subsystem=modcluster/proxy=default:write-attribute(name=advertise,value=false)

   重要

   确保继续执行下一步，以提供代理列表。如果代理列表为空，则不会禁用广告。

3. 在 JBoss EAP modcluster 子系统中提供代理列表。

   需要提供代理列表，因为 modcluster 子系统将无法自动发现代理（如果禁用了广告）。

   首先，在适当的套接字绑定组中定义出站套接字绑定。

   /socket-binding-group=full-ha-sockets/remote-destination-outbound-socket-binding=proxy1:add(host=10.33.144.3,port=6666)
   /socket-binding-group=full-ha-sockets/remote-destination-outbound-socket-binding=proxy2:add(host=10.33.144.1,port=6666)

   接下来，将代理添加到 mod_cluster 配置中。

   /profile=full-ha/subsystem=modcluster/proxy=default:list-add(name=proxies,value=proxy1)
   /profile=full-ha/subsystem=modcluster/proxy=default:list-add(name=proxies,value=proxy2)

流程

1. 配置网络接口。

   默认情况下，网络接口都默认为 127.0.0.1。托管单机服务器或服务器组中的一个或多个服务器的每个物理主机都需要将其接口配置为使用其公共 IP 地址，而其他服务器可以看到这些地址。

   使用以下管理 CLI 命令，根据您的环境修改 管理、公共 和不安全的接口的外部 IP 地址。务必将命令中的 EXTERNAL_IP_ADDRESS 替换为主机的实际外部 IP 地址。

   /interface=management:write-attribute(name=inet-address,value="${jboss.bind.address.management:EXTERNAL_IP_ADDRESS}")
   /interface=public:write-attribute(name=inet-address,value="${jboss.bind.address.public:EXTERNAL_IP_ADDRESS}")
   /interface=unsecure:write-attribute(name=inet-address,value="${jboss.bind.address.unsecure:EXTERNAL_IP_ADDRESS}")

   重新加载服务器。

   reload

2. 配置主机名。

   为参与受管域的每个主机设置唯一的主机名。此名称在第二项之间必须是唯一的，并且将用于标识到集群的次要名称，因此请记录您使用的名称。

   1. 使用适当的 host.xml 配置文件启动 JBoss EAP 次要主机。

      $ EAP_HOME/bin/domain.sh --host-config=host-secondary.xml

   2. 使用以下管理 CLI 命令设置唯一主机名：本例使用 secondary1 作为新主机名。

      /host=EXISTING_HOST_NAME:write-attribute(name=name,value=secondary1)

      有关配置主机名的更多信息 ，请参阅配置主机的名称。

3. 配置每个主机以连接到域控制器。

   注意

   此步骤不适用于单机服务器。

   + 对于需要加入受管域的新建主机，您必须删除 local 元素，并添加指向域控制器的 remote element host 属性。

   + ..使用适当的 host.xml 配置文件启动 JBoss EAP 次要主机。

   +

   $ EAP_HOME/bin/domain.sh --host-config=host-secondary.xml

   1. 使用以下管理 CLI 命令配置域控制器设置：

      /host=SECONDARY_HOST_NAME:write-remote-domain-controller(host=DOMAIN_CONTROLLER_IP_ADDRESS,port=${jboss.domain.primary.port:9990},security-realm="ManagementRealm")

      这会修改 host-secondary.xml 文件中的 XML，如下所示：

      <domain-controller>
          <remote host="DOMAIN_CONTROLLER_IP_ADDRESS" port="${jboss.domain.primary.port:9990}" security-realm="ManagementRealm"/>
      </domain-controller>

      如需更多信息，请参阅主机控制器配置。

4. 为每个次要主机配置身份验证。

   每个次要服务器都需要在域控制器的主或独立 master ManagementRealm 中创建的用户名和密码。在域控制器主或单机 master上，为每个主机运行 EAP_HOME/bin/add-user.sh 命令。为每个主机添加一个管理用户，其用户名与二级主机名匹配。

   务必在最后一个问题上回答 yes，要求"此新用户将用于一个 AS 进程来连接到另一个 AS 进程？"，以便您提供 secret 值。

   示例： add-user.sh Script Output (trimmed)

   $ EAP_HOME/bin/add-user.sh
   
   What type of user do you wish to add?
    a) Management User (mgmt-users.properties)
    b) Application User (application-users.properties)
   (a): a
   
   Username : secondary1
   Password : changeme
   Re-enter Password : changeme
   What groups do you want this user to belong to? (Please enter a comma separated list, or leave blank for none)[  ]:
   About to add user 'secondary1' for realm 'ManagementRealm'
   Is this correct yes/no? yes
   Is this new user going to be used for one AS process to connect to another AS process?
   e.g. for a secondary host controller connecting to the primary or for a Remoting connection for server to server {JEB} calls.
   yes/no? yes
   To represent the user add the following to the server-identities definition <secret value="SECRET_VALUE" />

   复制此输出中提供的 Base64 编码的 secret 值，SECRET_VALUE 可以在下一步中使用。

   如需更多信息，请参阅 JBoss EAP 如何配置服务器安全 指南中的 主域控制器 部分。

5. 修改次要主机的安全域，以使用新的身份验证。

   您可以通过在服务器配置中设置 secret 值、从凭证存储或 vault 获取密码，或者将密码作为系统属性传递来指定密码。

   • 使用管理 CLI 在服务器配置文件中指定 Base64 编码的密码值。

     使用以下管理 CLI 命令来指定 secret 值。务必将 SECRET_VALUE 替换为上一步中 add-user 输出返回的 secret 值。

     /host=SECONDARY_HOST_NAME/core-service=management/security-realm=ManagementRealm/server-identity=secret:add(value="SECRET_VALUE")

     您需要重新加载服务器。--host 参数不适用于单机服务器。

     reload --host=HOST_NAME

     如需更多信息，请参阅配置 二级控制器以使用 JBoss EAP 如何配置服务器安全 指南中的凭证 部分。

   • 配置主机，以从凭据存储中获取密码。

     如果您在凭证存储中存储了 secret 值，您可以使用以下命令将服务器 secret 设置为凭证存储中的值：

     /host=SECONDARY_HOST_NAME/core-service=management/security-realm=ManagementRealm/server-identity=secret:add(credential-reference={store=STORE_NAME,alias=ALIAS}

     您需要重新加载服务器。--host 参数不适用于单机服务器。

     reload --host=HOST_NAME

     如需更多信息，请参阅 JBoss EAP 如何配置服务器安全 指南中的 凭据存储 部分。

   • 配置主机，以从密码库获取密码。

     1. 使用 EAP_HOME/bin/vault.sh 脚本生成屏蔽的密码。它将以 VAULT::secret::password::VAULT_SECRET_VALUE 格式生成一个字符串，例如：

        VAULT::secret::password::ODVmYmJjNGMtZDU2ZC00YmNlLWE4ODMtZjQ1NWNmNDU4ZDc1TElORV9CUkVBS3ZhdWx0.

        注意

        在密码库中创建密码时，必须以纯文本形式指定密码，而不是以 Base64 编码的。

     2. 使用以下管理 CLI 命令来指定 secret 值。务必将 VAULT_SECRET_VALUE 替换为上一步中生成的已屏蔽密码。

        /host=primary/core-service=management/security-realm=ManagementRealm/server-identity=secret:add(value="${VAULT::secret::password::VAULT_SECRET_VALUE}")

        您需要重新加载服务器。--host 参数不适用于单机服务器。

        reload --host=HOST_NAME

        如需更多信息，请参阅 JBoss EAP 如何配置服务器安全 指南中的 密码库 部分。

   • 将密码指定为系统属性。

     以下示例使用 server.identity.password 作为密码的系统属性名称。

     1. 在服务器配置文件中指定密码的系统属性。

        使用以下管理 CLI 命令，将 secret 身份配置为使用系统属性。

        /host=SECONDARY_HOST_NAME/core-service=management/security-realm=ManagementRealm/server-identity=secret:add(value="${server.identity.password}")

        您需要重新加载服务器。--host 参数不适用于单机服务器。

        reload --host=primary

     2. 在启动服务器时为系统属性设置密码。

        您可以通过将 server.identity.password 系统属性传递为命令行参数或属性文件来设置 server.identity.password 系统属性。

        1. 将 传递为纯文本命令行参数。

           启动服务器并传递 server.identity.password 属性。

           $ EAP_HOME/bin/domain.sh --host-config=host-secondary.xml -Dserver.identity.password=changeme

           警告

           密码必须以纯文本形式输入，并对发出 ps -ef 命令的人员可见。

        2. 在属性文件中设置 属性。

           创建属性文件，并将键/值对添加到属性文件中，例如：

           server.identity.password=changeme

           警告

           密码采用纯文本，将对有权访问此属性文件的任何人可见。

           + 使用命令行参数启动服务器。

           +

           $ EAP_HOME/bin/domain.sh --host-config=host-secondary.xml --properties=PATH_TO_PROPERTIES_FILE

6. 重新启动服务器。

   现在，次要将使用主机名作为用户名以及加密字符串作为其密码来向主要进行身份验证。

1. 使用先决条件中描述的步骤设置您的新集群。

2. 在 ClusterNEW 和 ClusterOLD 中，确保配置选项 sticky-session 设置为 true 的默认设置。启用此选项意味着对任何集群中集群节点进行的所有新请求都将继续进入相应的集群节点。

   /profile=full-ha/subsystem=modcluster/proxy=default:write-attribute(name=sticky-session,value=true)

3. 将 load-balancing-group 设置为 ClusterOLD，假设 ClusterOLD 中的所有集群节点都是 ClusterOLD 负载均衡组的成员。

   /profile=full-ha/subsystem=modcluster/proxy=default:write-attribute(name=load-balancing-group,value=ClusterOLD)

4. 使用 Configure a mod_cluster Worker Node 部分中描述的流程将 ClusterNEW 中的节点单独添加到 mod_cluster 配置中。另外，使用上述过程并将其负载平衡组设置为 ClusterNEW。

   此时，您可以在 mod_cluster-manager 控制台中看到与上述简短示例类似的输出：

                   mod_cluster/<version>
   
       LBGroup ClusterOLD: [Enable Nodes]   [Disable Nodes]   [Stop Nodes]
           Node node-1-jvmroute (ajp://node1.oldcluster.example:8009):
               [Enable Contexts]   [Disable Contexts]   [Stop Contexts]
               Balancer: qacluster, LBGroup: ClusterOLD, Flushpackets: Off, ..., Load: 100
               Virtual Host 1:
                   Contexts:
                       /my-deployed-application-context, Status: ENABLED Request: 0 [Disable]   [Stop]
   
           Node node-2-jvmroute (ajp://node2.oldcluster.example:8009):
               [Enable Contexts]   [Disable Contexts]   [Stop Contexts]
               Balancer: qacluster, LBGroup: ClusterOLD, Flushpackets: Off, ..., Load: 100
               Virtual Host 1:
                   Contexts:
                       /my-deployed-application-context, Status: ENABLED Request: 0 [Disable]   [Stop]
   
   
       LBGroup ClusterNEW: [Enable Nodes]   [Disable Nodes]   [Stop Nodes]
           Node node-3-jvmroute (ajp://node3.newcluster.example:8009):
               [Enable Contexts]   [Disable Contexts]   [Stop Contexts]
               Balancer: qacluster, LBGroup: ClusterNEW, Flushpackets: Off, ..., Load: 100
               Virtual Host 1:
                   Contexts:
                       /my-deployed-application-context, Status: ENABLED Request: 0 [Disable]   [Stop]
   
           Node node-4-jvmroute (ajp://node4.newcluster.example:8009):
               [Enable Contexts]   [Disable Contexts]   [Stop Contexts]
               Balancer: qacluster, LBGroup: ClusterNEW, Flushpackets: Off, ..., Load: 100
               Virtual Host 1:
                   Contexts:
                       /my-deployed-application-context, Status: ENABLED Request: 0 [Disable]   [Stop]

5. 任何旧的活跃会话都位于 ClusterOLD 组中，任何新会话都会在 ClusterOLD 或 CLusterNEW 组中创建。接下来，我们需要禁用整个 ClusterOLD 组，以便其集群节点可能会被删除，而不会造成当前活动的客户端会话的任何错误。

   在 mod_cluster-manager web 控制台中，单击 LBGroup ClusterOLD 的 Disable Nodes 链接。

   此时，只有属于已建立的会话的请求才会路由到 ClusterOLD 负载平衡组的成员。所有新客户端的会话都会在 ClusterNEW 组中创建。当 ClusterOLD 组中没有活跃的会话时，就可以安全地删除其成员。

   注意

   使用 Stop Nodes 将命令负载均衡器停止将任何请求立即路由到这个域。这将强制故障转移到另一个负载平衡组，这将给客户端造成会话数据丢失，只要 ClusterNEW 和 ClusterOLD 之间没有会话复制。