一、cfengine单机部署概述

cfengine作为一款基于”承诺理论”的自动化配置管理工具，其单机部署模式适用于中小规模环境或开发测试场景。相比分布式部署，单机模式无需搭建复杂的policy hub网络，通过本地策略文件即可实现主机级的配置管理。典型应用场景包括：单服务器环境管理、开发测试环境快速搭建、容器化应用配置模板等。

部署架构采用”客户端+本地策略”模式，cfengine进程通过读取本地/var/cfengine/inputs目录下的策略文件执行配置任务。这种架构的优势在于：无需网络依赖即可完成配置变更、策略修改即时生效、适合隔离环境使用。但需注意单机模式缺乏策略分发和版本控制能力，需手动维护策略文件同步。

二、环境准备与软件安装

1. 系统兼容性验证

cfengine 3.x版本支持主流Linux发行版（RHEL/CentOS 7+、Ubuntu 18.04+）、macOS 10.13+及Windows Server 2016+。建议使用较新内核版本以获得完整功能支持，例如在CentOS 8上需确保glibc版本≥2.28。

2. 依赖库安装

Linux环境需预先安装：

# CentOS/RHEL
sudo yum install -y openssl-devel pcre-devel libyaml-devel
# Ubuntu/Debian
sudo apt-get install -y libssl-dev libpcre3-dev libyaml-dev

Windows环境需安装Visual C++ Redistributable 2015+及Win32 OpenSSL。

3. 软件包获取与安装

官方提供三种安装方式：

源码编译（推荐定制化部署）：

wget https://cfengine.com/pub/archive/3.18.0/cfengine-core-3.18.0.tar.gz
tar xzf cfengine-core-*.tar.gz
cd cfengine-core-*
./configure --prefix=/usr/local/cfengine --with-workdir=/var/cfengine
make && sudo make install

包管理器安装（快速部署）：
```bash

CentOS/RHEL

sudo yum install -y epel-release
sudo yum install -y cfengine-community

Ubuntu/Debian

sudo apt-get install -y cfengine3

- **二进制包安装**（跨平台兼容）：从官网下载预编译包解压至/opt/cfengine目录
安装完成后验证版本信息：
```bash
/var/cfengine/bin/cf-agent --version
# 应输出类似：CFEngine Core 3.18.0 (build 20230515)

三、核心配置文件详解

1. 主配置文件结构

配置目录默认位于/var/cfengine/inputs，关键文件包括：

promises.cf：主策略入口文件
update.cf：策略更新定义（单机模式可留空）
failsafe.cf：故障恢复策略
cf-serverd.cf：服务配置（单机模式禁用）

2. 基础策略模板

创建基础策略文件/var/cfengine/inputs/main.cf：

body common control {
  bundlesequence => { "example_bundle" };
  inputs => { "libs/cfengine_stdlib.cf" }; # 引入标准库
}
bundle agent example_bundle {
  classes:
    "linux_system" expression => "any";
  reports:
    linux_system::
      "This is a test report from CFEngine";
  commands:
    "/bin/date"
      contain => shell_commands,
      comment => "Execute date command";
}

3. 关键参数配置

在promises.cf中设置运行时参数：

body agent control {
  # 日志配置
  log_severity => 1; # 0=error,1=warning,2=notice,3=info,4=verbose
  log_file => "/var/log/cfengine/cf-agent.log";
  # 执行间隔（单机模式建议手动触发）
  schedule => { "Min05" }; # 每5分钟执行
}

四、策略开发与测试

1. 策略语法规范

遵循”承诺-检查-修复”模式：

bundle agent file_integrity {
  files:
    "/etc/passwd"
      comment => "Ensure passwd file exists",
      create => "true",
      file_select => file_exists,
      file_mode => "0644",
      owner => "root";
}

2. 测试执行方法

使用--no-lock --inform参数进行安全测试：

/var/cfengine/bin/cf-agent --no-lock --inform -f ./test_policy.cf

输出示例：

R: Found /etc/passwd with mode 0644 (correct)
R: Owner of /etc/passwd is root (correct)

3. 调试技巧

启用详细日志：--verbose 4
模拟执行：--dry-run
日志分析工具：cf-promises -vf policy.cf

五、运维管理实践

1. 日常操作流程

策略更新：修改inputs目录下文件后执行
```
/var/cfengine/bin/cf-agent -K
```

状态检查：

/var/cfengine/bin/cf-monitord --info
/var/cfengine/bin/cf-agent --show-classes

2. 故障处理指南

常见问题处理：

策略不生效：检查inputs目录权限（需755）
命令执行失败：在策略中添加contain => in_shell
内存泄漏：升级至3.15+版本，添加max_memory => 1024参数

3. 性能优化建议

复杂策略拆分为多个bundle
使用classes进行条件判断减少不必要的操作
定期清理/var/cfengine/state目录下的旧状态文件

六、安全加固方案

1. 访问控制配置

编辑/var/cfengine/inputs/controls/cf_agent.cf：

body agent control {
  access_control => {
    "127.0.0.1/32 allow",
    "::1/128 allow",
    "all deny"
  };
}

2. 策略加密保护

使用GPG加密敏感策略：

gpg --encrypt --recipient user@domain.com policy.cf

在策略中添加解密命令：

commands:
  "/usr/bin/gpg --decrypt /var/cfengine/inputs/policy.cf.gpg | /bin/bash"
    contain => shell_commands;

3. 审计日志配置

在promises.cf中启用详细审计：

body agent control {
  audit_log => "/var/log/cfengine/audit.log";
  audit_enabled => "true";
  audit_size => 1048576; # 1MB
}

七、进阶应用场景

1. 定时任务管理

替代cron的配置示例：

bundle agent cron_replacement {
  commands:
    "/usr/bin/fstrim -av"
      schedule => "Weekly1"; # 每周一执行
}

2. 软件包管理自动化

跨平台包管理策略：

bundle agent package_mgmt {
  packages:
    "nginx"
      package_policy => "add",
      package_method => generic;
  methods:
    "generic" usebundle => package_method_generic("nginx");
}
body package_method generic {
  install => {
    "yum install -y $(name)" # RHEL
    "apt-get install -y $(name)" # Debian
  };
}

3. 配置漂移检测

文件内容监控策略：

bundle agent config_drift {
  files:
    "/etc/ssh/sshd_config"
      edit_line => ensure_ssh_settings,
      file_select => line_match_regex(
        "^PermitRootLogin no$",
        "^PasswordAuthentication no$"
      );
}
body edit_line ensure_ssh_settings {
  insert_type => "preserve_block";
  insert_after => "^#PermitRootLogin";
  edit_defaults => empty_backup;
}

八、总结与最佳实践

单机部署cfengine的核心优势在于轻量级和快速部署，建议遵循以下原则：

策略文件版本控制：使用git管理inputs目录
渐进式部署：先在测试环境验证策略
最小权限原则：cf-agent以非root用户运行时需配置sudo权限
监控集成：将cfengine日志接入ELK等监控系统

典型部署时间线：环境准备（30分钟）→基础策略开发（2小时）→测试验证（1小时）→生产部署（30分钟）。通过合理规划，单机环境可在半天内完成从零到自动化的转型。

cfengine 部署（单机）：从安装到运维的完整指南