Puppet入門：DevOps自動化でデプロイを加速する構成管理ツール

DevOpsでは、可能な限り多くのタスクを自動化したいものです。広大なインフラストラクチャを手動で構成するには数週間を要します。すべてがセットアップ完了する頃には、新たな効果的なソリューション（Rancherサーバー等）を実装する代わりに、火消し（障害対応）に追われることになります。

Puppetは、手動タスクを自動化し、システムを迅速にプロビジョニングし、アプリケーションをデプロイするのを支援します。動的インフラストラクチャ管理がPuppetの核心です。

本記事では、Puppetとは何か、どのような問題を解決するのか、DevOpsチームとしてPuppetを用いて手動ジョブを自動化する方法を解説します。

Puppetとは

Puppetは、複数サーバーを管理するためのIaC（Infrastructure as Code）ツールです。主にRubyで記述され、複数のUnix系システムで動作し、Windowsもサポートしています。

ソフトウェアは非常に成熟しており、初版リリースは2005年です。Puppetは無料のオープンソースソフトウェアとして提供されており、複雑なインフラストラクチャ向けのプロプライエタリ版も利用可能です。

Puppetの用途

Puppetは、サーバー構成管理とデプロイを自動化します。このソフトウェアにより、複数システム上で一度に「糸を引く」（状態を管理する）ことが可能になり、サーバーを個別に手動でセットアップ・管理する必要性を低減します。

Puppetは、システムの「あるべき状態（望ましい状態）」を定義し、「どうそこに到達するか」を定義しません。この設定はさまざまなプラットフォームとデバイスに適用され、インフラストラクチャ全体で状態を維持します。全体として、システム管理者が火消しに追われる必要性が減り、DevOpsチームが新たなより良いサーバーソリューションの実装に注力できるようになります。

Puppetによる構成管理

自動化スクリプトは、サーバーのインストールと設定などの反復タスクを処理するのに役立ちます。しかし、大規模インフラストラクチャを扱う場合、自動化スクリプトはスケールしません。

構成管理は、大規模インフラストラクチャ設定の解決策を提供します。これらのプラクティスはDevOpsのバックボーンと見なされ、確立されたDevOpsパイプラインにおいて、より頻繁で信頼性の高いソフトウェアリリースを可能にします。

サーバー構成管理は、Infrastructure as Code（IaC）アプローチによって実現されます。Puppetの場合、サーバー管理コードはPuppetコード（Rubyに類似）で記述されます。この言語は宣言的で、モデルベースの構成を記述します。

Puppetの仕組み

Puppetはクライアント・サーバーアプローチを採用し、以下のシステムで構成されます。

• Puppet Master：Puppet Masterデーモンを実行するサーバー。マニフェストを使用して、すべてのノードの重要なシステム情報を管理
• Puppet Agents：Puppetがインストールされ、Puppet Agentデーモンが実行されているノード

以下のセクションでは、Puppetの仕組みを明確にするため、必須のPuppet要素と用語を説明します。

Puppetのトポロジーとアーキテクチャ

Puppetは、Puppet MasterとPuppet Agentsで構成されるクライアント/サーバーアーキテクチャを採用します。Puppet Agentsはプルモードを使用し、マスターをポーリングしてノード固有およびサイト固有の設定情報を取得します。

トポロジーは以下のステップで進行します。

1. Puppet Agentデーモンを実行しているノードが、自分自身に関するすべての情報（ファクト）を収集し、エージェントがそれらをPuppet Masterへ送信
2. Puppet Masterがデータを使用して、ノードをどう構成すべきかを定義したカタログを作成し、Puppet Agentへ返送
3. Puppet Agentがカタログに基づいて自己構成し、Puppet Masterへ報告

PuppetはFacterというユーティリティを使用してシステム情報を検出します。このツールはPuppetインストールにデフォルトで同梱されています。

Puppet Master

Puppet Masterは、専用サーバー上で実行されるデーモンです。サーバーノードとして、情報源と構成の権限を持ちます。マスターはすべてのエージェントノードへ指示を送信し、システムの構成を監督します。

Puppet Masterの責務は以下の通りです。

• エージェント向けカタログの作成
• ファイルサーバーからエージェントへのファイル転送
• エージェントからのSSL証明書の受け入れ
• 構成マニフェストの保存

Puppetは専用ユーザーとグループを通じたアイデンティティアクセス管理を採用し、セキュリティを確保しつつ、エージェントに必要な情報のみを公開します。ただし、すべてのアクションが昇格特権を必要とするわけではありません。

Puppet Agents

Puppet Agentは、システムまたはノード上で実行されるPuppetデーモンです。エージェントは、Puppet Masterから取得した構成カタログを適用するための特定の特権をノード上で持ちます。

通信権限を得るため、エージェントはマスターとの初回接触時にSSL証明書をリクエストします。証明書は、エージェントがマスターに構成更新を要求するたびにチェックされ、情報送信前に検証されます。マスターもエージェントに対して認証を行い、正しい構成情報を保証します。

Puppetエージェントはシステムの構成を変更するため、タスク実行にはroot権限が必要です。

Puppetの暗号化と通信セキュリティ

Puppetは通信とセキュリティにOpenSSLを使用します。SSLとTLSプロトコルに基づき、標準的なSSL/TLS暗号化とSSL証明書をエージェント/マスターの認証と検証に使用します。また、SHA-256をデフォルトハッシュとして、エージェントとサーバー間のトラフィックフローをSSL/TLSで暗号化します。

Puppetの暗号化手法が保証するもの：

• マスター/エージェントの認証と検証
• マスターとエージェント間のデータ侵害防止

マスターは独自のCA証明書、秘密鍵、CRL（証明書失効リスト）、サーバー証明書を生成します。サーバー証明書はエージェントに送信され、SSLおよびTLS通信を可能にします。

Puppetのメリットと採用すべき理由

Puppetは、最も長く広く使われている構成管理自動化ツールの一つです。Puppetを使い始めるべき5つの理由を紹介します。

1. オープンソース

Puppetはオープンソースであり、テクノロジーを拡張可能にします。カスタムライブラリとモジュールが、個別プロジェクトをあなたのユースケースに適合させます。

オープンソースには、活発なコミュニティというメリットもあります。豊富な議論、フォーラム、専門家が質問に答え、支援してくれます。

2. リソース抽象化

構成タスクは反復的で、異なるOSを持つサーバーでもプラットフォーム固有の手順で同じステップが必要になることがよくあります。すべてのコマンドを記憶するのは不可能です。

FacterがPuppetに詳細を把握させ、抽象化を実現します。システム固有のデータとOSの詳細は、FacterのおかげでPuppetにとってすべて既知のものです。

3. 冪等性

多数のサーバーを扱う際、冗長な構成は複雑な問題になります。Puppetは、システムに影響を与える変更のみを適用することを目指します。インフラストラクチャの望ましい状態がすでに達成されている場合、Puppetはコマンドを実行しません。このPuppetの機能は冪等性と呼ばれ、冗長性を減らし効率を高めます。

4. クロスプラットフォーム

Puppetは幅広いプラットフォームをカバーし、構成自動化プロセスに含められるサーバーの数を増やします。このツールはWindows、OS X、Debian系、Fedora、Gentoo、RHEL、Solarisで動作します。

5. 柔軟性

Puppet言語には、命令を上書きし、さまざまなシナリオに対する例外を作成する方法が含まれます。また、特定のメンテナンスアクションを定期的にスケジュールするのも支援します。

結論

Puppetは、構成とサーバータスクを管理する強力なツールであり、動的に変化しない、または頻繁に変更されない安定したサーバーにとって優れた選択肢です。

Puppetが他の類似技術とどう比較されるか知りたい場合は、比較記事「Ansible vs. Terraform vs. Puppet」を参照してください。