天翼云 迁移必备组件 安装指南 中国电信股份有限公司云计算分公司

Transcription

1 天翼云 迁移必备组件 安装指南 中国电信股份有限公司云计算分公司

2 1 前言 目录 1 前言 WINDOWS 系统 配置虚机激活 CLOUD-INIT 安装配置 安装驱动 安装配置一键重置密码 AGENT 开启远程桌面 其他 LINUX 系统 DENYHOST 安装配置 CLOUD-INIT 安装配置 安装原生的 XEN 和 KVM 驱动 修改 GRUB 的 UUID 修改 FSTAB 的 UUID 安装一键重置密码 AGENT 系统基础配置 清空系统残留配置文件, 清除历史操作记录 附录

3 1 前言 1 前言 为保障迁移后的云主机安全稳定运行并且正常使用天翼云提供的其他服务, 用户需要针对自己 迁移的系统类型对应检查安装相应的组件 本文件详细介绍了不同节点不同系统对应需要安装的组 件以及组件的作用和安装方法 2.1 配置虚机激活 2 windows 系统 ( 若不激活会影响系统正常功能使用 ) 1 进入 cmd 命令行界面 2 执行 slmgr.vbs -skms , 提示激活页面 3 执行 slmgr.vbs -ato 激活 kms 4 执行 slmgr.vbs -dlv 查看激活是否为 180 天, 如果是激活正常 3

4 2 windows 系统 2.2 cloud-init 安装配置 (cloud-init 主要负责密码相关, 卸载掉可能导致页面注入密码不生效, 另外, 一键重置密码 agent 也依赖于 cloud-init, 卸载掉会导致重置密码功能不可用 ) 1 获取路径 : 从 Cloudbase 官方网站获取对应的 Windows 版本 Cloudbase-init 软件并安装的至虚拟 机 cloudbase 官网 : Cloudbase-init 分为稳定版本和 Beta 版本两种 稳定版本获取路径 : 64 位 : 32 位 : Beta 版本获取路径 : 64 位 : 32 位 : 2 安装配置 Cloudbase-Init, 一定要注意 Username User s local groups Serial port for logging 参数与 Use metadata password 如下截图 4

5 2 windows 系统 3 无需勾选任何选项, 点击 finish 即可 4 在 cloudbase-init 安装路径的配置文件 C:\Program Files\Cloudbase Solutions\Cloudbase-Init\conf\cloudbase-init.conf 的最后一行, 增加配置项 netbios_host_name_compatibility=false first_logon_behaviour=no, 使 Windows 系统的 hostname 长度支持到 63 个字符, 取消首次登陆修改密码功能 5 在 Cloudbase-init 安装路径的配置文件 C:\Program Files\Cloudbase Solutions \Cloudbase-Init\conf\cloudbase-init.conf 中增加配置项 metadata_services=cloudbaseinit.metadata.services.httpservice.httpservice, 配置 5

6 2 windows 系统 agent 访问 openstack 数据源 2.3 安装驱动 ( 驱动程序用于系统正常启动 识别磁盘以及支持远程桌面功能, 卸载掉可能导致机器无法正 常启动 ) 请参考附录文档中的 在 Windows 系统中安装驱动 pvdriver 和 Windows 上安装驱动 VMTools 章节操作 2.4 安装配置一键重置密码 agent ( 主要用于支持页面重置密码功能, 卸载掉会导致页面重置密码功能不可用 ) 1 通过下载 至系统内 2 解压缩 CloudResetPwdAgent.zip, 双击 cloudresetpwdagent_ondepend.windows 与 updateagent_ondepend.windows 目录下的 setup.bat 进行安装 3 查看任务管理器 - 服务, 若找到 cloudresetpwdagent 服务和 cloudresetpwdupdateagent 服务, 安装成功 4 登录控制台, 确认是否可以出现正常的重置密码框以及重置密码后是否生效 6

7 2 windows 系统 2.5 开启远程桌面 在虚拟机操作系统单击 开始, 右键单击 计算机, 选择 属性, 进入 计算机属性 区域框 在左侧界面中, 单击 远程设置 进入 远程桌面 区域框, 勾选 允许运行任意版本远程桌面的计算机连接 ( 注意一定不能勾选 仅允许运行使用网络级别身份验证的远程桌面的计算机连接 ) 2.6 其他 1 确认时间是否正确, 如不对, 需修改 2 关闭 IE 增强的设置 休眠功能 自动共享 自动播放功能, 删除 windows 自带计划任务 ( 可 7

8 2 windows 系统 选 ) 3 开启 windows 自动更新功能, 对 windows 进行更新 4 清除系统日志 5 清除任务栏记录 将如下截图勾选去掉确认后再次勾选上即可 8

9 3.1 Denyhost 安装配置 ( 功能主要是防护 ssh 暴力攻击, 卸载掉会降低系统安全性 ) Ubuntu 系列 denyhosts 配置 tar -zxf DenyHosts-2.6.tar.gz && cd DenyHosts-2.6 && python setup.py install && cd /usr/share/denyhosts/ && \ cp denyhosts.cfg-dist denyhosts.cfg && cd /usr/share/denyhosts && cp daemon-control-dist daemoncontrol && \ 9

10 chown root daemon-control && chmod 700 daemon-control && cd /etc/init.d && ln -s /usr/share/denyhosts/daemon-control denyhosts (cat tee /usr/share/denyhosts/denyhosts.cfg) <<EOF SECURE_LOG = /var/log/secure HOSTS_DENY = /etc/hosts.deny PURGE_DENY = 5h BLOCK_SERVICE = sshd DENY_THRESHOLD_INVALID = 10 DENY_THRESHOLD_VALID = 10 DENY_THRESHOLD_ROOT = 10 DENY_THRESHOLD_RESTRICTED = 1 WORK_DIR = /usr/share/denyhosts/data SUSPICIOUS_LOGIN_REPORT_ALLOWED_HOSTS=YES HOSTNAME_LOOKUP=YES LOCK_FILE = /var/lock/denyhosts #SMTP_HOST = localhost #SMTP_PORT = 25 #SMTP_FROM = DenyHosts <nobody@localhost> 10

11 #SMTP_SUBJECT = DenyHosts Report AGE_RESET_VALID=5d AGE_RESET_ROOT=25d AGE_RESET_RESTRICTED=25d AGE_RESET_INVALID=10d DAEMON_LOG = /var/log/denyhosts DAEMON_SLEEP = 30s DAEMON_PURGE = 1h EOF sysv-rc-conf --level S denyhosts on (sysv-rc-conf 系统默认未安装, 需进行 apt-get install sysv-rc-conf -y 安装操作 ) 如果 denyhosts 启动异常, 如下截图 执行 :cp /usr/local/bin/denyhosts.py /usr/bin/denyhosts.py && touch /var/log/secure CentOS 系列 denyhosts 配置 tar -zxf DenyHosts-2.6.tar.gz && cd DenyHosts-2.6 && python setup.py install && cd /usr/share/denyhosts/ && \ cp denyhosts.cfg-dist denyhosts.cfg && cd /usr/share/denyhosts && cp daemon-control-dist daemoncontrol && \ 11

12 chown root daemon-control && chmod 700 daemon-control && cd /etc/init.d && ln -s /usr/share/denyhosts/daemon-control denyhosts (cat tee /usr/share/denyhosts/denyhosts.cfg) <<EOF SECURE_LOG = /var/log/secure HOSTS_DENY = /etc/hosts.deny PURGE_DENY = 5h BLOCK_SERVICE = sshd DENY_THRESHOLD_INVALID = 10 DENY_THRESHOLD_VALID = 10 DENY_THRESHOLD_ROOT = 10 DENY_THRESHOLD_RESTRICTED = 1 WORK_DIR = /usr/share/denyhosts/data SUSPICIOUS_LOGIN_REPORT_ALLOWED_HOSTS=YES HOSTNAME_LOOKUP=YES LOCK_FILE = /var/lock/subsys/denyhosts #SMTP_HOST = localhost #SMTP_PORT = 25 #SMTP_FROM = DenyHosts <nobody@localhost> 12

13 #SMTP_SUBJECT = DenyHosts Report AGE_RESET_VALID=5d AGE_RESET_ROOT=25d AGE_RESET_RESTRICTED=25d AGE_RESET_INVALID=10d DAEMON_LOG = /var/log/denyhosts DAEMON_SLEEP = 30s DAEMON_PURGE = 1h EOF chkconfig --add denyhosts && chkconfig --level denyhosts on 检查 Denyhost 服务启动是否正常 /etc/init.d/denyhosts status 与 ps -ef grep denyhosts 状态正常且有进程, 说明配置正常 ( 进 一步判断重启后 denyhost 进程依然存在 ) 3.2 Cloud-init 安装配置 (cloud-init 主要负责密码相关, 卸载掉可能导致页面注入密码不生效, 另外, 一键重置密码 agent 也依赖于 cloud-init, 卸载掉会导致重置密码功能不可用 ) 请参考附录文档中的 linux 系统安装 Cloud-Init 章节操作 13

14 3.3 安装原生的 XEN 和 KVM 驱动 ( 驱动程序用于系统正常启动 提供某些监控项以及磁盘识别, 卸载掉可能会导致系统无法正常启 动等问题 ) 请参考附录文档中的 在 Linux 系统中安装原生的 XEN 和 KVM 驱动 章节操作 3.4 修改 grub 的 UUID 请参考附录文档中的 linux 系统改修改 grub 的 UUID 章节操作 3.5 修改 fstab 的 UUID 请参考附录文档中的 linux 系统改修改 fstab 的 UUID 章节操作 3.6 安装一键重置密码 agent ( 主要用于支持页面重置密码功能, 卸载掉会导致页面重置密码功能不可用 ) 1 通过 wget ( 针对 32 位操 作系统 ) 或 wget ( 针对 64 位操作系统 )agent 软件包至系统内 2 解压缩 CloudResetPwdAgent.zip, 执行命令 unzip CloudResetPwdAgent.zip && cd CloudResetPwdAgent && cd CloudResetPwdUpdateAgent.Linux/ && chmod +x setup.sh && sh setup.sh 3 确认服务是否启动 命令如下 : service cloudresetpwdupdateagent status 或者 ps -ef grep jre 14

15 4 登录控制台, 确认是否可以出现正常的重置密码框以及重置密码后是否生效 3.7 系统基础配置 1 时区设置 ln -sf /usr/share/zoneinfo/asia/shanghai /etc/localtime 2 关闭防火墙与 selinux CentOS 6 系列系统配置 : /etc/init.d/iptables stop && chkconfig iptables off && setenforce 0 && sed -i '/^SELINUX/s/enforcing/disabled/' /etc/selinux/config && \ >/var/lib/dhclient/dhclient-eth0.leases >/dev/null 2>&1 ##Optimize the SSH configuration file sed -i 's/#usedns yes/usedns no/g' /etc/ssh/sshd_config sed -i 's/usedns yes/usedns no/g' /etc/ssh/sshd_config sed -i 's/gssapiauthentication yes/gssapiauthentication no/g' /etc/ssh/sshd_config ##network boot 15

16 sed -i 's/onboot="no"/onboot="yes"/g' /etc/sysconfig/network-scripts/* sed -i 's/onboot=no/onboot=yes/g' /etc/sysconfig/network-scripts/* CentOS 7 系列系统配置 systemctl stop firewalld.service && systemctl disable firewalld.service && setenforce 0 && sed -i '/^SELINUX/s/enforcing/disabled/' /etc/selinux/config &&\ >/var/lib/dhclient/dhclient-eth0.leases >/dev/null 2>&1 ##Optimize the SSH configuration file sed -i 's/#usedns yes/usedns no/g' /etc/ssh/sshd_config sed -i 's/usedns yes/usedns no/g' /etc/ssh/sshd_config sed -i 's/gssapiauthentication yes/gssapiauthentication no/g' /etc/ssh/sshd_config ##network boot sed -i 's/onboot="no"/onboot="yes"/g' /etc/sysconfig/network-scripts/* sed -i 's/onboot=no/onboot=yes/g' /etc/sysconfig/network-scripts/* Ubuntu 系列系统配置 ufw disable && >/var/lib/dhcp/dhclient.eth0.leases >/dev/null 2>&1 cat /etc/ssh/sshd_config grep ^#PermitRootLogin >/dev/null 2>&1 if [ $? = 1 ];then 16

17 sed -i 's/permitrootlogin without-password/#permitrootlogin withoutpassword/g' /etc/ssh/sshd_config sed -i 's/gssapiauthentication yes/gssapiauthentication no/g' /etc/ssh/sshd_config echo "PermitRootLogin yes" >> /etc/ssh/sshd_config fi cat /etc/ssh/sshd_config grep ^PermitEmptyPasswords >/dev/null 2>&1 if [ $? = 1 ];then sed -i 's/#permitemptypasswords/permitemptypasswords/g' /etc/ssh/sshd_config fi SUSE 列系统配置 : SuSEfirewall2 stop && chkconfig SuSEfirewall2_init off && chkconfig SuSEfirewall2_setup off && >/var/lib/dhclient/dhclient-eth0.leases >/dev/null 2>&1 ##Optimize the SSH configuration file sed -i 's/#usedns yes/usedns no/g' /etc/ssh/sshd_config sed -i 's/usedns yes/usedns no/g' /etc/ssh/sshd_config sed -i 's/gssapiauthentication yes/gssapiauthentication no/g' /etc/ssh/sshd_config ##network boot sed -i 's/onboot="no"/onboot="yes"/g' /etc/sysconfig/network-scripts/* 17

18 sed -i 's/onboot=no/onboot=yes/g' /etc/sysconfig/network-scripts/* SUSE 系统云主机内部修改主机名无法生效, 需要修改 /etc/sysconfig/network/dhcp 配置文件 DHCLIENT_PRIMARY_DEVICE="yes" DHCLIENT_SET_HOSTNAME="no" DHCLIENT_USE_LAST_LEASE="no" 3.8 清空系统残留配置文件, 清除历史操作记录 #Centos 系统 >/var/lib/dhclient/dhclient-eth0.leases >/dev/null 2>&1 service denyhosts stop && >/var/log/secure && >/etc/hosts.deny && >/usr/share/denyhosts/data/hosts && >/usr/share/denyhosts/data/hosts-restricted && >/usr/share/denyhosts/data/hosts-root && >/usr/share/denyhosts/data/hosts-valid && service rsyslog restart && service denyhosts start (cat tee /etc/hosts) << EOF localhost localhost.localdomain localhost4 localhost4.localdomain4 ::1 localhost localhost.localdomain localhost6 localhost6.localdomain6 EOF rm -rf /etc/sysconfig/network-scripts/*bak && cd /var/log && touch btmp lastlog && chmod 644 btmp && chown root:utmp btmp && chmod 000 lastlog && rm -rf /root/.ssh/* && touch /var/log/secure && > /root/.bash_history && history -c #Ubuntu 系统 (Debian 系统 ) > /var/lib/dhcp/dhclient.eth0.leases >/dev/null 2>&1 service denyhosts stop && >/var/log/secure && >/etc/hosts.deny 18

19 && >/usr/share/denyhosts/data/hosts && >/usr/share/denyhosts/data/hosts-restricted && >/usr/share/denyhosts/data/hosts-root && >/usr/share/denyhosts/data/hosts-valid && service rsyslog restart && service denyhosts start (cat tee /etc/hosts) << EOF localhost # The following lines are desirable for IPv6 capable hosts ::1 localhost ip6-localhost ip6-loopback ff02::1 ip6-allnodes ff02::2 ip6-allrouters EOF rm -rf /etc/sysconfig/network-scripts/*bak && cd /var/log && touch btmp lastlog secure && chmod 644 btmp && chown root:utmp btmp && chmod 000 lastlog && rm -rf /root/.ssh/* && touch /var/log/secure && > /root/.bash_history && history -c #SUSE 系统 >/var/lib/dhclient/dhclient-eth0.leases >/dev/null 2>&1 service denyhosts stop && >/var/log/secure && >/etc/hosts.deny && >/usr/share/denyhosts/data/hosts && >/usr/share/denyhosts/data/hosts-restricted && >/usr/share/denyhosts/data/hosts-root && >/usr/share/denyhosts/data/hosts-valid && service rsyslog restart && service denyhosts start (cat tee /etc/hosts) << EOF localhost localhost.localdomain localhost4 localhost4.localdomain4 ::1 localhost localhost.localdomain localhost6 localhost6.localdomain6 EOF rm -rf /etc/sysconfig/network-scripts/*bak && cd /var/log && touch btmp lastlog && chmod 644 btmp && chown root:utmp btmp && chmod 000 lastlog && rm -rf /root/.ssh/* && touch /var/log/secure &&> /root/.bash_history && history -c 19

20 4 附录 4 附录 附录文档.pdf 20