Page d'accueil>Lié à la programmation>Autre code source
Télécharger

Module NGINX pour marionnette

Ce module a été migré de James Fryman [email protected] vers Vox Pupuli.

INSTALLATION OU MISE À NIVEAU

Ce module gère la configuration de NGINX.

Exigences

  • Marionnette 4.6.1 ou version ultérieure. Puppet 3 était pris en charge jusqu'à la version 0.6.0.
  • apt est maintenant une dépendance douce. Si votre système utilise apt, vous devrez configurer une version appropriée du module apt. La version 4.4.0 ou supérieure est recommandée en raison de la bonne gestion de apt-transport-https .

Documentation supplémentaire

  • Un guide de démarrage rapide du module NGINX Puppet

Installer et démarrer une instance NGINX 

 include nginx

Un simple proxy inverse 

 nginx::resource::server { 'kibana.myhost.com' :
  listen_port => 80,
  proxy       => ' http://localhost:5601 ' ,
}

Un hôte virtuel avec du contenu statique 

 nginx::resource::server { 'www.puppetlabs.com' :
  www_root => ' /var/www/www.puppetlabs.com ' ,
}

Un exemple de proxy plus complexe 

 nginx::resource::upstream { 'puppet_rack_app' :
  members => {
    ' localhost:3000 ' => {
      server => ' localhost ' ,
      port   => 3000,
      weight => 1,
    },
    ' localhost:3001 ' => {
      server => ' localhost ' ,
      port   => 3001,
      weight => 1,
    },
    ' localhost:3002 ' => {
      server => ' localhost ' ,
      port   => 3002,
      weight => 2,
      },
  },
}

nginx::resource::server { 'rack.puppetlabs.com' :
  proxy => ' http://puppet_rack_app ' ,
}

Ajouter un proxy SMTP 

 class { 'nginx' :
  mail => true ,
}

nginx::resource::mailhost { 'domain1.example' :
  auth_http       => ' server2.example/cgi-bin/auth ' ,
  protocol        => ' smtp ' ,
  listen_port     => 587,
  ssl_port        => 465,
  starttls        => ' only ' ,
  xclient         => ' off ' ,
  proxy_protocol  => ' off ' ,
  proxy_smtp_auth => ' off ' ,
  ssl             => true ,
  ssl_cert        => ' /tmp/server.crt ' ,
  ssl_key         => ' /tmp/server.pem ' ,
}

Convertir les membres en amont du tableau en hachage

Le type de données Array pour les membres d'un nginx::resource::upstream est remplacé par un Hash. La configuration suivante n'est plus valide : 

 nginx::resource::upstream { 'puppet_rack_app' :
  members => {
    ' localhost:3000 ' ,
    ' localhost:3001 ' ,
    ' localhost:3002 ' ,
  },
}

Désormais, la configuration doit ressembler à ceci : 

 nginx::resource::upstream { 'puppet_rack_app' :
  members => {
    ' localhost:3000 ' => {
      server => ' localhost ' ,
      port   => 3000,
    },
    ' localhost:3001 ' => {
      server => ' localhost ' ,
      port   => 3001,
    },
    ' localhost:3002 ' => {
      server => ' localhost ' ,
      port   => 3002,
    },
  },
}

Configuration SSL

Par défaut, la création d'une ressource serveur créera uniquement un serveur HTTP. Pour créer également un serveur HTTPS (compatible SSL), définissez ssl => true sur le serveur. Vous aurez un serveur HTTP en écoute sur listen_port (port 80 par défaut) et un serveur HTTPS en écoute sur ssl_port (port 443 par défaut). Les deux serveurs auront le même server_name et une configuration similaire.

Pour créer uniquement un serveur HTTPS, définissez ssl => true et définissez également listen_port sur la même valeur que ssl_port . Les définir sur la même valeur désactive le serveur HTTP. Le serveur résultant écoutera sur ssl_port .

Idempotence avec nginx 1.15.0 et versions ultérieures

Par défaut, ce module peut configurer la directive ssl on obsolète. Lors de la prochaine exécution de puppet, celui-ci sera supprimé puisque le fait nginx_version sera désormais disponible. Pour éviter ce problème d'idempotence, vous pouvez définir manuellement le paramètre nginx_version de la classe de base.

Emplacements

Les emplacements nécessitent des paramètres spécifiques selon qu'ils doivent être inclus dans les serveurs HTTP, HTTPS ou les deux.

Serveur HTTP uniquement (par défaut)

Si vous n'avez qu'un serveur HTTP (c'est-à-dire ssl => false sur le serveur), assurez-vous de ne pas définir ssl => true sur un emplacement que vous associez au serveur.

Serveur HTTP et HTTPS

Si vous définissez ssl => true et que vous définissez également listen_port et ssl_port sur des valeurs différentes sur le serveur, vous devrez être précis avec les paramètres d'emplacement puisque vous aurez un serveur HTTP écoutant sur listen_port et un serveur HTTPS écoutant sur ssl_port :

  • Pour ajouter un emplacement uniquement au serveur HTTP, définissez ssl => false sur l'emplacement (c'est la valeur par défaut).
  • Pour ajouter un emplacement aux serveurs HTTP et HTTPS, définissez ssl => true sur l'emplacement et assurez-vous que ssl_only => false (qui est la valeur par défaut pour ssl_only ).
  • Pour ajouter un emplacement uniquement au serveur HTTPS, définissez à la fois ssl => true et ssl_only => true sur l'emplacement.

Serveur HTTPS uniquement

Si vous avez défini ssl => true et que vous avez également défini listen_port et ssl_port sur la même valeur sur le serveur, vous aurez un seul serveur HTTPS à l'écoute sur ssl_port . Pour ajouter un emplacement à ce serveur, définissez ssl => true et ssl_only => true sur l'emplacement.

Assistance Hiera

Définition des ressources nginx dans Hiera. 

 nginx::nginx_upstreams :
  ' puppet_rack_app ' :
    ensure : present
    members :
      ' localhost:3000 ' :
        server : ' localhost '
        port : 3000
      ' localhost:3001 ' :
        server : ' localhost '
        port : 3001
      ' localhost:3002 ' :
        server : ' localhost '
        port : 3002
nginx::nginx_servers :
  ' www.puppetlabs.com ' :
    www_root : ' /var/www/www.puppetlabs.com '
  ' rack.puppetlabs.com ' :
    proxy : ' http://puppet_rack_app '
nginx::nginx_locations :
  ' static ' :
    location : ' ~ "^/static/[0-9a-fA-F]{8}/(.*)$" '
    server : www.puppetlabs.com
    www_root : /var/www/html
  ' userContent ' :
    location : /userContent
    server : www.puppetlabs.com
    www_root : /var/www/html
nginx::nginx_mailhosts :
  ' smtp ' :
    auth_http : server2.example/cgi-bin/auth
    protocol : smtp
    listen_port : 587
    ssl_port : 465
    starttls : only

Un proxy UDP syslog de flux 

 nginx::stream : true

nginx::nginx_cfg_prepend :
  include :
    - ' /etc/nginx/modules-enabled/*.conf '

nginx::nginx_streamhosts :
  ' syslog ' :
    ensure :                 ' present '
    listen_port :            514
    listen_options :         ' udp '
    proxy :                  ' syslog '
    proxy_read_timeout :     ' 1 '
    proxy_connect_timeout :  ' 1 '
    raw_append :
      - ' error_log off; '

nginx::nginx_upstreams :
  ' syslog ' :
    context : ' stream '
    members :
      ' 10.0.0.1:514 ' :
        server : ' 10.0.0.1 '
        port : 514
      ' 10.0.0.2:514 ' :
        server : ' 10.0.0.2 '
        port : 514
      ' 10.0.0.3:514 ' :
        server : ' 10.0.0.3 '
        port : 514

Nginx avec passager précompilé

Exemple de configuration pour Debian et RHEL / CentOS (>6), extrayant les packages Nginx et Passenger du dépôt Phusion. Voir les notes supplémentaires sur https://github.com/voxpupuli/puppet-nginx/blob/master/docs/quickstart.md 

 class { 'nginx' :
  package_source  => ' passenger ' ,
  http_cfg_append => {
    ' passenger_root ' => ' /usr/lib/ruby/vendor_ruby/phusion_passenger/locations.ini ' ,
  }
}

Voici l'exemple pour OpenBSD : 

 class { 'nginx' :
  package_flavor => ' passenger ' ,
  service_flags  => ' -u '
  http_cfg_append => {
    passenger_root          => ' /usr/local/lib/ruby/gems/2.1/gems/passenger-4.0.44 ' ,
    passenger_ruby          =>  ' /usr/local/bin/ruby21 ' ,
    passenger_max_pool_size => ' 15 ' ,
  }
}

passenger source du package ajoutera le référentiel Phusion Passenger aux sources APT. Pour chaque hôte virtuel, vous devez spécifier quel Ruby doit être utilisé. 

 nginx::resource::server { 'www.puppetlabs.com' :
  www_root          => ' /var/www/www.puppetlabs.com ' ,
  server_cfg_append => {
    ' passenger_enabled ' => ' on ' ,
    ' passenger_ruby '    => ' /usr/bin/ruby ' ,
  }
}

Maître des marionnettes servi par Nginx et Passager

Configuration de l'hôte virtuel pour servir le maître des marionnettes : 

 nginx::resource::server { 'puppet' :
  ensure               => present ,
  server_name          => [ ' puppet ' ],
  listen_port          => 8140,
  ssl                  => true ,
  ssl_cert             => ' /var/lib/puppet/ssl/certs/example.com.pem ' ,
  ssl_key              => ' /var/lib/puppet/ssl/private_keys/example.com.pem ' ,
  ssl_port             => 8140,
  server_cfg_append    => {
    ' passenger_enabled '      => ' on ' ,
    ' passenger_ruby '         => ' /usr/bin/ruby ' ,
    ' ssl_crl '                => ' /var/lib/puppet/ssl/ca/ca_crl.pem ' ,
    ' ssl_client_certificate ' => ' /var/lib/puppet/ssl/certs/ca.pem ' ,
    ' ssl_verify_client '      => ' optional ' ,
    ' ssl_verify_depth '       => 1,
  },
  www_root             => ' /etc/puppet/rack/public ' ,
  use_default_location => false ,
  access_log           => ' /var/log/nginx/puppet_access.log ' ,
  error_log            => ' /var/log/nginx/puppet_error.log ' ,
  passenger_cgi_param  => {
    ' HTTP_X_CLIENT_DN '     => ' $ssl_client_s_dn ' ,
    ' HTTP_X_CLIENT_VERIFY ' => ' $ssl_client_verify ' ,
  },
}

Exemple de classe de marionnettes appelant nginx::server avec HTTPS FastCGI et redirection HTTP 

 $full_web_path = ' /var/www '

define web::nginx_ssl_with_redirect (
  $backend_port         = 9000,
  $php                  = true ,
  $proxy                = undef ,
  $www_root             = " ${full_web_path} / ${name} / " ,
  $location_cfg_append  = undef ,
) {
  nginx::resource::server { "${name}.${facts['networking']['domain']}" :
    ensure              => present ,
    www_root            => " ${full_web_path} / ${name} / " ,
    location_cfg_append => {
      ' rewrite ' => ' ^ https://$server_name$request_uri? permanent '
    }‚,
  }

  if ! $www_root {
    $tmp_www_root = undef
  } else {
    $tmp_www_root = $www_root
  }

  nginx::resource::server { "${name}.${facts['networking']['domain']} ${name}" :
    ensure                => present ,
    listen_port           => 443,
    www_root              => $tmp_www_root ,
    proxy                 => $proxy ,
    location_cfg_append   => $location_cfg_append ,
    index_files           => [ ' index.php ' ],
    ssl                   => true ,
    ssl_cert              => ' /path/to/wildcard_mydomain.crt ' ,
    ssl_key               => ' /path/to/wildcard_mydomain.key ' ,
  }


  if $php {
    nginx::resource::location { "${name}_root" :
      ensure          => present ,
      ssl             => true ,
      ssl_only        => true ,
      server           => " ${name} .${facts['networking']['domain']} ${name} " ,
      www_root        => " ${full_web_path} / ${name} / " ,
      location        => ' ~ . php$ ' ,
      index_files     => [ ' index.php ' , ' index.html ' , ' index.htm ' ],
      proxy           => undef ,
      fastcgi         => " 127.0.0.1: ${backend_port} " ,
      fastcgi_script  => undef ,
      location_cfg_append => {
        fastcgi_connect_timeout => ' 3m ' ,
        fastcgi_read_timeout    => ' 3m ' ,
        fastcgi_send_timeout    => ' 3m '
      }
    }
  }
}

Ajouter des fastcgi_params personnalisés 

 nginx::resource::location { "some_root" :
  ensure         => present ,
  location       => ' /some/url ' ,
  fastcgi        => " 127.0.0.1:9000 " ,
  fastcgi_param  => {
    ' APP_ENV ' => ' local ' ,
  },
}

Appeler la classe web :: nginx_ssl_with_redirect 

 web::nginx_ssl_with_redirect { 'sub-domain-name' :
    backend_port => 9001,
  }
Développer
Informations supplémentaires
Applications connexes
Recommandé pour vous
Actualités connexes Tout