Virtuozzo PowerPanel. Веб-интерфейс управления ВМ для пользователей

 ДЕНИС СИЛАКОВ, к.ф.-м.н., старший системный архитектор Virtuozzo, dsilakov@virtuozzo.com

Virtuozzo PowerPanel
Веб-интерфейс управления ВМ для пользователей

Virtuozzo Automator, предоставляющий веб-интерфейс для управления парком машин, рассчитан в первую очередь на обслуживающих эти машины системных администраторов, но что если необходимо предоставить пользователям возможность управлять своими контейнерами и ВМ через веб?

Подобная задача актуальна, например, для хостинг-провайдеров, строящих свои решения на системах виртуализации Virtuozzo и желающих предоставлять клиентам удобный интерфейс к их VPS. Конечно, гибкая система пользователей иролей Virtuozzo Automator (VA) [1] позволяет так настроить права пользователей, чтобы им был доступен только ограниченный набор действий и только над их собственными системами, но такой подход напоминает стрельбу из пушки поворобьям – львиная доля функционала VA при этом останется невостребованной.

К тому же вряд ли провайдеры сочтут разумным с точки зрения безопасности выставлять «наружу» веб-интерфейс Automator – несмотря на встроенные ограничения прав для внешних пользователей, всегда есть опасность эскалации привилегий и не обязательно за счет ошибок ПО. Надежнее не иметь даже гипотетического шанса допустить сторонних лиц к внутренней инфраструктуре через интерфейс ее управления. Поэтому в линейку Virtuozzo 7 включен отдельный продукт, ориентированный исключительно на пользователей – Virtuozzo PowerPanel (сокращенно PP). Именно его мы и рассмотрим в данной статье.

Архитектура

Основой PowerPanel является контроллер, устанавливаемый на отдельную машину (реальную либо виртуальную) под управлением Virtuozzo Linux 7 либо CentOS 7. Контроллер осуществляет управление серверами, на которых установлен Virtuozzo; в терминах PowerPanel такие машины называются вычислительными узлами, compute nodes.

На контроллере находится база данных со сведениями обо всех вычислительных узлах, расположенных на них виртуальных окружениях, а также о пользователях PP. На каждом из вычислительных узлов необходимо установить и запустить сервис vzapi-compute, фактически являющийся «агентом» PowerPanel.

Обязательным требованием как к контроллеру, так и к вычислительным узлам является наличие у каждого полноценного доменного имени (fully qualified domain name, FQDN), а также их согласованность по времени (рекомендуется на всех машинах включить NTP). Помните об этом, если решите поэкспериментировать с PP в «песочнице».

Установка контроллера

Для установки контроллера в CentOS 7 необходимо отключить SELinux (выставить SELINUX=disabled в файле /etc/sysconfig/selinux) и перезагрузить систему. В Virtuozzo Linux этого делать не требуется, а в будущем разработчики обещают «подружить» PP и SELinux и в CentOS.

Также в CentOS 7 необходимо импортировать ключ, которым подписаны RPM-пакеты Virtuozzo (в Virtuozzo Linux этот ключ присутствует по умолчанию):

# rpm --import http://repo.virtuozzo.com/vzlinux/security/VIRTUOZZO_GPG_KEY

После чего необходимо установить пакеты pp-release и vzapi-installer:

# yum install http://repo.virtuozzo.com/pp/releases/2.0/x86_64/os/Packages/p/pp-release-2.0-3.vl7.noarch.rpm

# yum install vzapi-installer

Первый пакет добавит в систему конфигурационные файлы с репозиториями PowerPanel, а второй поставит программу установки vzapi-installer.

Установка контроллера запускается следующей командой:

# vzapi-installer controller --ask-passwd --private-ip <IP_address>

Опция --private-ip служит для указания адреса сетевого интерфейса, через который контроллер будет общаться с вычислительными узлами. Эта опция предусмотрена для конфигурации, в которой у сервера есть несколько сетевых интерфейсов, смотрящих в разные подсети. Использование опции --private-ip указывает компонентам PowerPanel (в частности, серверу СУБД MariaDB и системе обмена сообщениями RabbitMQ) слушать только запросы с заданного интерфейса и игнорировать остальные.

Таким образом исключается умышленное или непреднамеренное обращение к PP от машин, которые по определению таких обращений делать не должны. Опция --private-ip является обязательной; если у вашей машины только один сетевой интерфейс, то укажите его адрес.

Опция --ask-passwd говорит программе установки, что пароль администратора PowerPanel необходимо запросить в процессе развертывания контроллера. В случае вызова установщика из других программ либо скриптов можно воспользоваться альтернативной опцией -p, при указании которой пароль считывается со стандартного входа программы без каких-либо вопросов пользователю.

Статью целиком читайте в журнале «Системный администратор», №4 за 2017 г. на страницах 18-23.

PDF-версию данного номера можно приобрести в нашем магазине.

1. Силаков Д. Virtuozzo Automator. Управляем Virtuozzo через веб-интерфейc. // «Системный администратор», № 1-2, 2017 г. – С. 32-35 (http://samag.ru/archive/article/3357).
2. Официальная документация по продуктам Virtuozzo – http://docs.virtuozzo.com.
3. Openstack: Integrate Identity with LDAP – https://docs.openstack.org/admin-guide/identity-integrate-with-ldap.html.

Комментарии могут оставлять только зарегистрированные пользователи