特定Puppet Agent的shell组资源与服务器及其他Agent不一致问题排查

云上老周

2026-6-30

SSH访问问题排查与解决方案

一、shell组资源差异的可能原因

Foreman主机配置差异化：该VM可能被分配到特殊主机组、添加了单独的主机参数，或在Foreman分类中被排除了通用组配置规则，导致Puppet接收的变量与其他VM不同。
Puppet模块条件分支：管理shell组的Puppet模块中存在基于主机名、环境、自定义fact的条件判断，仅针对该VM生成了只包含RKE成员的组配置。
ENC输出异常：尽管已检查过Foreman ENC，但该VM的ENC返回结果可能存在变量缺失或值异常（比如shell_group_members变量未正确填充），导致组资源配置走了异常分支。
本地资源未被强制执行：Puppet代码中group {'shell':}资源未设置purge => true，当有人手动修改过该组成员列表后，Puppet不会主动覆盖恢复；或者该资源的ensure属性未设置为present，导致配置未被强制执行。
资源冲突：存在其他Puppet模块（自定义或第三方）也在管理shell组，其配置优先级更高，覆盖了通用规则。

校验Foreman配置差异
- 对比该VM与正常VM的主机组、主机参数、分类标签，重点查看是否有覆盖组配置的特殊变量；
- 执行foreman-rake puppet:enc --hostname <问题VM主机名>，将输出与正常VM的ENC结果对比，定位变量差异。
排查Puppet模块逻辑
- 查看Gitlab中管理shell组的Puppet代码，查找是否存在针对该VM的条件判断（如if $::fqdn == 'problem-vm.example.com'）；
- 确认代码中group {'shell':}的members参数是否引用了统一的全局变量（如$ldap_shell_group_members），并检查该变量在问题VM上的实际值（可通过facter -p查看）。
强制同步Puppet资源
- 在Puppet代码中确保group {'shell':}资源添加purge => true参数，强制覆盖本地成员列表：
```
group { 'shell':
  ensure  => present,
  members => $ldap_shell_group_members,
  purge   => true,
}
```
- 临时手动修复：在问题VM上执行以下命令同步正常成员列表（替换为实际成员）：
```
puppet apply -e 'group { "shell": ensure => present, members => ["user1", "user2", "rke"], purge => true }'
```
检查Puppet执行日志
- 查看/var/log/puppetlabs/puppet/puppet.log，查找是否有shell组资源被跳过、冲突或报错的日志，定位配置未生效的原因。

LDAP客户端配置异常：对比问题VM与正常VM的/etc/nsswitch.conf、/etc/sssd/sssd.conf、/etc/pam.d/sshd配置，检查是否存在LDAP搜索路径错误、用户过滤规则、PAM模块顺序差异。
SSHD配置限制：检查/etc/ssh/sshd_config中的AllowGroups、DenyGroups、AllowUsers参数，确认是否仅允许shell组中的RKE成员登录。
SELinux策略限制：查看SELinux布尔值配置（getsebool -a | grep ssh），确认是否有针对LDAP用户SSH访问的限制；检查/var/log/audit/audit.log是否有SELinux拒绝日志。
缓存同步问题：SSSD或nscd缓存过期导致用户组信息未同步，执行sss_cache -E或nscd -i group刷新缓存后重试。
Foreman合规政策：该VM可能被应用了特殊的合规规则，限制了SSH登录的用户组或权限，可在Foreman的合规模块中排查。
本地文件权限问题：LDAP用户的家目录权限异常（如权限过高或过低），导致SSHD拒绝登录，可检查/home/<ldap-user>的权限设置。

内容的提问来源于stack exchange，提问作者Lewis Sampson