9.2. 使用 logging 系统角色

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Deploying files input and forwards output with certs
     hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.logging
     vars:
       logging_certificates:
         - name: logging_cert
           dns: ['localhost', 'www.example.com']
           ca: ipa
       logging_pki_files:
         - ca_cert: /local/path/to/ca_cert.pem
           cert: /local/path/to/logging_cert.pem
           private_key: /local/path/to/logging_cert.pem
       logging_inputs:
         - name: input_name
           type: files
           input_log_path: /var/log/containers/*.log
       logging_outputs:
         - name: output_name
           type: forwards
           target: your_target_host
           tcp_port: 514
           tls: true
           pki_authmode: x509/name
           permitted_server: 'server.example.com'
       logging_flows:
         - name: flow_name
           inputs: [input_name]
           outputs: [output_name]

   playbook 使用以下参数：

   logging_certificates

   此参数的值被传给 certificate RHEL 系统角色中的 certificate_requests，并用来创建私钥和证书。

   logging_pki_files

   使用这个参数，您可以配置日志记录用来查找 CA 证书和用于 TLS 的密钥文件的路径和其他设置，使用以下子参数指定：ca_cert、ca_cert_src 、cert、cert_src、private_key、private_key_src 和 tls。

   注意

   如果您使用 logging_certificates 在目标节点上创建文件，请不要使用 ca_cert_src、cert_src 和 private_key_src，它们用于复制由 logging_certificates 创建的文件。

   ca_cert

   代表目标节点上 CA 证书文件的路径。默认路径为 /etc/pki/tls/certs/ca.pem，文件名由用户设置。

   cert

   表示目标节点上证书文件的路径。默认路径为 /etc/pki/tls/certs/server-cert.pem，文件名由用户设置。

   private_key

   代表目标节点上私钥文件的路径。默认路径为 /etc/pki/tls/private/server-key.pem，文件名由用户设置。

   ca_cert_src

   代表控制节点上 CA 证书文件的路径，该路径被复制到目标主机上由 ca_cert 指定的位置。如果使用 logging_certificates，请不要使用它。

   cert_src

   代表控制节点上证书文件的路径，该文件的路径被复制到目标主机上由 cert 指定的位置。如果使用 logging_certificates，请不要使用它。

   private_key_src

   代表控制节点上私钥文件的路径，该路径被复制到目标主机上由 private_key 指定的位置。如果使用 logging_certificates，请不要使用它。

   tls

   将此参数设为 true 以确保通过网络安全地传输日志。如果您不想要一个安全的包装程序，您可以设置 tls: false。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Deploying remote input and remote_files output with certs
     hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.logging
     vars:
       logging_certificates:
         - name: logging_cert
           dns: ['localhost', 'www.example.com']
           ca: ipa
       logging_pki_files:
         - ca_cert: /local/path/to/ca_cert.pem
           cert: /local/path/to/logging_cert.pem
           private_key: /local/path/to/logging_cert.pem
       logging_inputs:
         - name: input_name
           type: remote
           tcp_ports: 514
           tls: true
           permitted_clients: ['clients.example.com']
       logging_outputs:
         - name: output_name
           type: remote_files
           remote_log_path: /var/log/remote/%FROMHOST%/%PROGRAMNAME:::secpath-replace%.log
           async_writing: true
           client_count: 20
           io_buffer_size: 8192
       logging_flows:
         - name: flow_name
           inputs: [input_name]
           outputs: [output_name]

   playbook 使用以下参数：

   logging_certificates

   此参数的值被传给 certificate RHEL 系统角色中的 certificate_requests，并用来创建私钥和证书。

   logging_pki_files

   使用这个参数，您可以配置日志记录用来查找 CA 证书和用于 TLS 的密钥文件的路径和其他设置，使用以下子参数指定：ca_cert、ca_cert_src 、cert、cert_src、private_key、private_key_src 和 tls。

   注意

   如果您使用 logging_certificates 在目标节点上创建文件，请不要使用 ca_cert_src、cert_src 和 private_key_src，它们用于复制由 logging_certificates 创建的文件。

   ca_cert

   代表目标节点上 CA 证书文件的路径。默认路径为 /etc/pki/tls/certs/ca.pem，文件名由用户设置。

   cert

   表示目标节点上证书文件的路径。默认路径为 /etc/pki/tls/certs/server-cert.pem，文件名由用户设置。

   private_key

   代表目标节点上私钥文件的路径。默认路径为 /etc/pki/tls/private/server-key.pem，文件名由用户设置。

   ca_cert_src

   代表控制节点上 CA 证书文件的路径，该路径被复制到目标主机上由 ca_cert 指定的位置。如果使用 logging_certificates，请不要使用它。

   cert_src

   代表控制节点上证书文件的路径，该文件的路径被复制到目标主机上由 cert 指定的位置。如果使用 logging_certificates，请不要使用它。

   private_key_src

   代表控制节点上私钥文件的路径，该路径被复制到目标主机上由 private_key 指定的位置。如果使用 logging_certificates，请不要使用它。

   tls

   将此参数设为 true 以确保通过网络安全地传输日志。如果您不想要一个安全的包装程序，您可以设置 tls: false。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Deploying basic input and relp output
     hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.logging
     vars:
       logging_inputs:
         - name: basic_input
           type: basics
       logging_outputs:
         - name: relp_client
           type: relp
           target: logging.server.com
           port: 20514
           tls: true
           ca_cert: /etc/pki/tls/certs/ca.pem
           cert: /etc/pki/tls/certs/client-cert.pem
           private_key: /etc/pki/tls/private/client-key.pem
           pki_authmode: name
           permitted_servers:
             - '*.server.example.com'
       logging_flows:
         - name: example_flow
           inputs: [basic_input]
           outputs: [relp_client]

   playbook 使用以下设置：

   target

   这是一个必需的参数，用于指定运行远程日志系统的主机名。

   port

   远程日志记录系统正在监听的端口号。

   tls

   确保日志在网络上安全地传输。如果您不想要安全打包程序，可以将 tls 变量设置为 false。在与 RELP 工作时，默认的 tls 参数被设置为 true，且需要密钥/证书和 triplets {ca_cert、cert、private_key} 和/或 {ca_cert_src,cert_src,private_key_src}。

   • 如果设置了 {ca_cert_src,cert_src,private_key_src} 三元组，则默认位置 /etc/pki/tls/certs 和 /etc/pki/tls/private 被用作受管节点上的目的地，以便从控制节点传输文件。在这种情况下，文件名与 triplet 中的原始名称相同
   • 如果设置了 {ca_cert,cert,private_key} 三元组，则文件在日志配置前应位于默认路径上。
   • 如果两个三元组都设置了，则文件将从控制节点的本地路径传输到受管节点的特定路径。

   ca_cert

   表示 CA 证书的路径。默认路径为 /etc/pki/tls/certs/ca.pem，文件名由用户设置。

   cert

   表示证书的路径。默认路径为 /etc/pki/tls/certs/server-cert.pem，文件名由用户设置。

   private_key

   表示私钥的路径。默认路径为 /etc/pki/tls/private/server-key.pem，文件名由用户设置。

   ca_cert_src

   表示复制到目标主机的本地 CA 证书文件路径。如果指定了 ca_cert，则会将其复制到该位置。

   cert_src

   表示复制到目标主机的本地证书文件路径。如果指定了 cert，则会将其复制到该位置。

   private_key_src

   表示复制到目标主机的本地密钥文件的路径。如果指定了 private_key，则会将其复制到该位置。

   pki_authmode

   接受身份验证模式为 name 或 fingerprint。

   permitted_servers

   日志客户端允许通过 TLS 连接和发送日志的服务器列表。

   输入

   日志输入字典列表。

   输出

   日志输出字典列表。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Deploying remote input and remote_files output
     hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.logging
     vars:
       logging_inputs:
         - name: relp_server
           type: relp
           port: 20514
           tls: true
           ca_cert: /etc/pki/tls/certs/ca.pem
           cert: /etc/pki/tls/certs/server-cert.pem
           private_key: /etc/pki/tls/private/server-key.pem
           pki_authmode: name
           permitted_clients:
             - '*example.client.com'
       logging_outputs:
         - name: remote_files_output
           type: remote_files
       logging_flows:
         - name: example_flow
           inputs: relp_server
           outputs: remote_files_output

   playbook 使用以下设置：

   port

   远程日志记录系统正在监听的端口号。

   tls

   确保日志在网络上安全地传输。如果您不想要安全打包程序，可以将 tls 变量设置为 false。在与 RELP 工作时，默认的 tls 参数被设置为 true，且需要密钥/证书和 triplets {ca_cert、cert、private_key} 和/或 {ca_cert_src,cert_src,private_key_src}。

   • 如果设置了 {ca_cert_src,cert_src,private_key_src} 三元组，则默认位置 /etc/pki/tls/certs 和 /etc/pki/tls/private 被用作受管节点上的目的地，以便从控制节点传输文件。在这种情况下，文件名与 triplet 中的原始名称相同
   • 如果设置了 {ca_cert,cert,private_key} 三元组，则文件在日志配置前应位于默认路径上。
   • 如果两个三元组都设置了，则文件将从控制节点的本地路径传输到受管节点的特定路径。

   ca_cert

   表示 CA 证书的路径。默认路径为 /etc/pki/tls/certs/ca.pem，文件名由用户设置。

   cert

   表示证书的路径。默认路径为 /etc/pki/tls/certs/server-cert.pem，文件名由用户设置。

   private_key

   表示私钥的路径。默认路径为 /etc/pki/tls/private/server-key.pem，文件名由用户设置。

   ca_cert_src

   表示复制到目标主机的本地 CA 证书文件路径。如果指定了 ca_cert，则会将其复制到该位置。

   cert_src

   表示复制到目标主机的本地证书文件路径。如果指定了 cert，则会将其复制到该位置。

   private_key_src

   表示复制到目标主机的本地密钥文件的路径。如果指定了 private_key，则会将其复制到该位置。

   pki_authmode

   接受身份验证模式为 name 或 fingerprint。

   permitted_clients

   日志记录服务器允许通过 TLS 连接和发送日志的客户端列表。

   输入

   日志输入字典列表。

   输出

   日志输出字典列表。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml