SaltStack Reactor自动认证脚本执行异常排查求助

1. 确保autosign.sls脚本正确执行的步骤 #

• 校验Reactor配置
  • 检查/etc/salt/master.d/reactor.conf的语法，确保触发事件与脚本路径配置正确，示例配置如下：

    reactor:
      - 'salt/auth':
        - /srv/salt/reactor/autosign.sls
    

  • 修改配置后必须重启salt-master服务：systemctl restart salt-master（适配你的系统服务命令）
• 确认事件触发
  • Reactor脚本仅在对应事件触发时执行，需确保有Minion发起认证请求（比如新Minion启动，或手动执行salt-call saltutil.sign_in）
  • 用salt-run event.listen实时监听事件流，确认salt/auth事件是否正常触发
• 脚本语法与逻辑校验
  • 在Master上执行salt-run state.show_sls reactor.autosign（需对应脚本的saltenv与路径），检查脚本是否存在语法错误
  • 确保脚本正确引用salt/auth事件的字段，比如通过{{ data['id'] }}获取Minion ID，{{ data['pub'] }}获取公钥
• 权限检查
  • 确保salt-master进程对/srv/salt/reactor目录及autosign.sls有读权限（目录权限755，文件权限644即可）
  • 若脚本涉及数据库查询，需确认salt-master运行用户（通常为salt）拥有数据库访问权限，包括账号密码正确性、网络连通性

2. print/logger.info输出的查看位置 #

• print输出：不会直接显示在控制台，全部被捕获到salt-master的日志文件中，默认路径为/var/log/salt/master
• logger.info输出：同样写入salt-master日志，但需确保master配置的日志级别为info或更低（如debug）。可在/etc/salt/master中添加log_level: info，重启服务后生效
• 例外：若使用salt-run reactor.run手动触发测试，print内容会直接输出到控制台，但实际事件触发时仍以日志为准

3. Reactor脚本调试推荐方法 #

• 手动模拟事件触发
  用salt-run reactor.run命令模拟salt/auth事件，直接执行脚本并查看输出：

  salt-run reactor.run saltenv=base event='{"tag": "salt/auth", "data": {"id": "test-minion", "pub": "test-pub-key", "act": "pend"}}'
  

• 提升日志级别
  在master配置中设置log_level: debug，重启服务后salt-master会输出Reactor脚本的加载、变量传递、执行细节等日志，便于定位问题
• 逐步简化脚本
  先将脚本简化为仅输出事件数据的基础版本，确认能正常执行后，再逐步添加数据库查询等复杂逻辑，避免基础问题被掩盖
• 捕获真实事件结构
  用salt-run event.listen捕获真实的salt/auth事件，查看data字段的具体结构，确保脚本中的变量引用与实际事件字段匹配
• 写入临时文件调试
  在脚本中添加写入临时文件的逻辑，直接记录关键数据，比如：

  cmd.run:
    - name: 'echo "Reactor triggered for Minion: {{ data.id }}" >> /tmp/reactor_debug.log'
  

内容的提问来源于stack exchange，提问作者Tony