2024 年 5-6 月来信
作者：Michael W Lucas
亲爱的来信专栏，
我的雇主有数十台服务器，但我不知道有多少操作系统。其中一台的运行时间比我都大，没人敢碰。但有个大聪明把一本电脑杂志落在了洗手间，被老板发现了。现在老板的脑瓜里，已经把“配置管理（configuration management，又称组态管理）”当成了化解我们全部问题的万金油，但数据中心真正需要的是背包核弹（核背包）。我该怎样才能让他明白，这些工具并不适合我们这样的环境？
“我已经注定要失败了，问你也无济于事。”
亲爱的失败者，
“问我也无济于事。”似乎系统管理员可以承受的痛苦有限，或者说他们失败的程度有限。失败并非是可以溢出的整数值。失败是一种社会构建，而你的失败已经完全确定。
我们都看过配置管理的推广。只需一个命令就能部署专用的高度优化过的服务器！用简单的 Playbook（译者注：Playbook 是 Ansible 的配置文件）就能调整计算云端！从一个服务器无缝透明迁移到另一个服务器！容器！对于那些什么都不懂的人来说，非常棒。但大多数系统管理员的工作环境用“巴洛克”（译者注：指复杂繁琐）来形容再合适不过了，甚至可以说是“史前文明”。我发现只有自己亲自在耕耘过的土地上，等待三叶草长出后，自己才能有一片绿地——绝非草坪，草坪是对气候施暴（译者注：人工草坪和羊都会威胁生态环境）。除非你养羊、或山羊——但如果你养任意品种的山羊，你的草坪都不会长久。这表明善行也是荒漠化的中介。此外，有谁愿意在安装数据中心之前等待三叶草呢？把那堆被夷为平地的幼儿园的废墟推平，继续过你的日子吧。
配置管理是一个仅存在于广告中的理想，且往往会制造麻烦而不是解决麻烦。没错，加拿大冰球联盟可以通过 DevOps 管理整个 Web 服务器集群，以动态应对全国人民同时观看纪念杯决赛时增加的负载，据说他们还可以通过 DevOps 增建更多心理健康设施，以应对伦敦骑士队输给萨吉诺精神队（他们甚至不是加拿大人）时的巨大失落感。而你？可能就不那么幸运。动态采购是动态调配的先决条件，而你显然缺乏都不具备。
你可以部署配置管理，但不要以恶意合规的方式来做。跳过那些过于理想化的手段来管理整个服务器集群。你没法只用一把椅子、一根鞭子和一把火焰喷射器来管理服务器集群。但系统中那些痛苦的部分是可以控制的。
配置管理是系统管理工具。因此，使用它来满足您的需求。从少量系统开始。配置一个带访问权限的管理账户，让您的管理系统可以 ping 这些主机。恭喜您——您已经实现了恶意合规！这满足了您被管理的需求，但不符合您的管理需求。
每台服务器都是一片独特的雪花，尽管是一种会感染的雪花。当您开始控制这些系统时，从相对简单的东西开始，已是已知的最佳值，在 Unix 变体中亦基本一致。关于这个问题有句陈词滥调：“一切问题都是 DNS 问题。”问题总是 DNS 问题，因为系统管理员不懂 DNS，并且在 DNS 服务器变化时未同步更新 /etc/resolv.conf。我总是从这开始的。您不仅要在初步配置管理下使系统生效，还要对当前的 DNS 配置进行审计，作为该项目的先决条件。您的经理会喜欢它。将您的主机按操作系统分组，并将它们的解析器纳入您的管理范围。如果您充满善意，请为这个文件写一下注释。
恭喜！您已经控制了 DNS 解析。它会经常变化吗？希望不会。但是您现在可以轻松地进行更改了。如果您希望别人认真对待您，您必须始终进行威慑，因此请安排：每月运行配置管理来更新 resolv.conf。
你可以合法地声称你的主机已经在配置管理下运行，但你还没有利用它让生活变得更轻松。看看另一个常见的服务，每个主机都有但通常配置不一致的：SSH。你的组织可能有像“禁止基于密码的认证”这样的规则。如果没有，等到发生安全事件再议。绝不能浪费一场好危机！锁定 SSH 并确保它保持锁定状态的最简单方法是将 sshd_config 纳入集中管理。是的，每个操作系统都有自己定制的 sshd_config，因为在集成软件之前，Unix 的维护者们总要将其改造成自己喜欢的样子，但管理系统使用模板来对抗这种不卫生的行为。你可能已在上班路上睡着的时候，背诵过默认的 sshd_config，所以请确保你的管理配置与默认配置看起来截然不同。
任何想着“我把默认选项注释掉就好了”的系统管理员在看到此处时，大脑就会瞬间惊醒。
慢慢的，你就可以将大部分环境都纳入你的掌控之下。对已管理服务的更改将变得微不足道。你的同事们会看到这一点。关于更改未管理服务的讨论将变成“我们如何将这个服务纳入管理？”利用这些讨论来实施环境中的必要更改，或者为自己争取第四台更好的显示器。毁灭是一种社会构建，但通过配置管理，你可以将其转变为一层保护壳，或者是一面攻城锤。至少，你可以分享那份痛苦。
很少会提及部署配置管理，但有一个可怕的副作用：谁掌控了环境，谁就掌控了权力。任何变更都必须经过你。人们无法在那台面向公众的服务器上永久启用密码验证，但这并不意味着他们不会向你抱怨。他们会期望你参与问题解决，没人能够在变成一位问题解决高手的情况下活下来。那无法消除的声誉污点只会让你赢得公司替罪羊的称号。
幸运的是，你知道山羊意味着什么。开始放牧吧。
有关于 Michael 的问题？请发送至 letters@freebsdjournal.org。
Michael W Lucas 是 Networking for System Administrators 等多本著作的作者，他还犯下了许多其他危害人类文明的罪行。其中的专栏文章集《Dear Abyss》（亲爱的深渊）即将在 Kickstarter（译者注：美国的一间众筹平台，该文章集在 https://www.kickstarter.com/projects/mwlucas/dear-abyss-the-freebsd-journal-letters-column-years-1-6）上连载，他预谋的证据确凿。详情请访问 https://mwl.io/ks。
最后更新于