Guía de operación de la nube

Esta guía es para quien opera una nube StrongLinux ya desplegada con strongctl (edición Servidor). La instalación está en la guía de instalación, y la actualización de versiones, en la guía de actualización.

Todos los comandos se ejecutan como root en el equipo donde se inicializó strongctl (el primer controller). La configuración de la nube está en /etc/strongctl/.

1. Comandos del día a día

Para usar el cliente openstack como administrador:

source /root/admin-openrc.sh
openstack server list --all-projects

2. Salud de la nube

strongctl verify comprueba, nodo a nodo:

• las units de systemd de cada rol;
• los puertos de las APIs y el certificado TLS de cada una;
• la emisión de tokens y el catálogo;
• los servicios de cómputo, los agentes de red y los servicios de volumen y orquestación;
• un ciclo de secreto en Barbican (guardar, leer, borrar);
• con alta disponibilidad, Galera (Synced), los nodos de RabbitMQ, los servidores RAFT de OVN y la VIP en exactamente un controller.

Ejecute verify después de cualquier cambio y antes de un upgrade (que exige el verify en verde).

APIs publicadas

HAProxy publica las APIs con TLS en la dirección del controller (o en la VIP, con HA):

Detrás de HAProxy, cada API escucha solo en la dirección interna (127.0.0.1 en el all-in-one). El metadata de Nova (8775) y la consola noVNC (6080) son internos.

Registros

3. Credenciales y secretos

• El almacén /etc/strongctl/passwords.yml está cifrado con ansible-vault. Su contraseña está en /etc/strongctl/.vault-pass (modo 0600).
• strongctl secrets show <nombre> muestra un secreto. Si el nombre no existe, el comando lista los nombres válidos.
• Secretos importantes: keystone_admin (usuario admin), barbican_kek (clave maestra de los secretos de Barbican), strongstack_secret_key.
• Guarde una copia de /etc/strongctl/ fuera de la nube (sección 5). Sin la barbican_kek, los secretos guardados en Barbican no se pueden recuperar.

4. Añadir y mantener nodos

Añadir un nodo de cómputo o de almacenamiento

1. Instale el nodo con la ISO (opción Compute o Storage) o con la imagen stronglinux-1.0-openstack-cloud-amd64.qcow2.
2. Autorice la clave SSH de root del controller en el nodo nuevo (/root/.ssh/authorized_keys).
3. Añada el nodo a /etc/strongctl/inventory.yml: la dirección en all.hosts y el nombre en el grupo del rol.

   all:
     hosts:
       cmp3: {ansible_host: 10.0.0.23, mgmt_ip: 10.0.0.23}
     children:
       compute:
         hosts:
           cmp3:

4. Prepare la base y despliegue:

   strongctl bootstrap
   strongctl deploy
   strongctl verify

Use el deploy completo, sin --role: solo cambia el nodo nuevo, pero también ejecuta el registro del nodo de cómputo en Nova (nova-manage cell_v2 discover_hosts), que está en el primer controller y no se ejecuta con --role compute.

Sacar un nodo de cómputo de servicio para mantenimiento

openstack compute service set --disable --disable-reason "mantenimiento" <host> nova-compute
openstack server list --all-projects --host <host>
openstack server migrate --live-migration <vm>     # o apague las VM del equipo

Después del mantenimiento: openstack compute service set --enable <host> nova-compute.

Reiniciar un controller con alta disponibilidad

Reinicie un controller a la vez y compruebe con strongctl verify antes de pasar al siguiente. Galera, RabbitMQ y OVN vuelven al clúster por sí solos. Si los tres cayeron al mismo tiempo, siga la recuperación de Galera en la guía de alta disponibilidad.

5. Copias de seguridad

strongctl no hace copias de seguridad automáticas. Guarde, fuera de la nube:

Los archivos de configuración de los servicios (/etc/<servicio>/) no necesitan copia: strongctl deploy los vuelve a generar todos a partir de /etc/strongctl/.

Para restaurar en un controller nuevo: instale el sistema, restaure /etc/strongctl/ y las claves de Keystone, ejecute strongctl bootstrap, importe las bases de datos (zcat bases.sql.gz | mariadb) y ejecute strongctl deploy y strongctl verify.

6. Rotación de las claves de token (fernet)

Los tokens de Keystone se cifran con claves fernet en /etc/keystone/fernet-keys/. Rote las claves periódicamente, por ejemplo una vez por semana. En el primer controller:

runuser -u keystone -- keystone-manage fernet_rotate --keystone-user keystone --keystone-group keystone
strongctl deploy --role controller      # con HA: copia las claves nuevas a los demás controllers

Keystone mantiene 3 claves activas, así que los tokens ya emitidos siguen siendo válidos. Con un solo controller, basta el primer comando.

7. Certificados TLS

• El certificado de las APIs es válido 825 días y la CA interna, 10 años. Para ver la caducidad:

  openssl x509 -enddate -noout -in /etc/strongctl/tls/api.crt

• Renovar el certificado interno: borre /etc/strongctl/tls/api.crt y ejecute strongctl deploy.
• Usar un certificado propio: coloque api.crt (cadena completa), api.key y ca.crt en /etc/strongctl/tls/, sin ca.key, y ejecute strongctl deploy.
• Nombres adicionales en el certificado (por ejemplo un nombre DNS público): api_tls_names en globals.yml.

8. Seguridad en el día a día

• Actualizaciones: unattended-upgrades aplica las correcciones de seguridad de Ubuntu. Las de StrongLinux llegan por el canal stronglinux-1.0-security; en una nube, aplíquelas con strongctl upgrade.
• AppArmor: los servicios de OpenStack se ejecutan confinados (modo enforce). Para ver qué se denegó:

  journalctl -k | grep 'apparmor="DENIED"'

  Los ajustes locales van en /etc/apparmor.d/local/stronglinux.<unit>, seguidos de apparmor_parser -r /etc/apparmor.d/stronglinux.<unit>. Para diagnosticar, ponga apparmor_mode: complain en globals.yml y ejecute strongctl deploy (solo registra, no bloquea).

• Integridad (AIDE): compara los archivos cada día; la base se renueva en cada strongctl deploy. Para comprobar al momento: aide --check -c /etc/aide/aide.conf.
• Cuenta bloqueada tras 5 contraseñas incorrectas (15 min): faillock --user <nombre> --reset.
• SSH: después de instalar las claves, deje PasswordAuthentication no.

9. Problemas comunes

Si el problema continúa, abra un issue con la salida de strongctl verify y los registros del servicio (sin contraseñas). Consulte la página de soporte.