如何在Puppet中下载文件且避免触发不必要的变更通知？

我之前在维护Puppet模块时也碰到过几乎一模一样的场景，给你几个实用的思路来解决这个“每次下载校验文件就触发变更通知”的问题：

方法一：用Exec的onlyif控制变更触发逻辑 #

核心思路是把校验文件的下载和实际的文件更新拆成两个步骤，只有当校验值真的变化时，才执行会触发变更的操作：

# 第一步：静默下载校验文件到临时位置（这个Exec永远执行，但不会标记为变更）
exec { 'fetch_temp_checksum':
  command => 'wget -q -O /tmp/target_file.md5 http://your-server/path/to/target_file.md5',
  path    => ['/usr/bin', '/bin'],
  # 关键：不设置refreshonly，确保每次Puppet运行都执行，但不主动触发变更
  refreshonly => false,
}

# 第二步：仅在校验值变化时，才更新本地校验文件并下载大文件（此时才会触发变更）
exec { 'update_target_file':
  command => 'cp /tmp/target_file.md5 /etc/local/target_file.md5 && wget -q -O /opt/app/target_file http://your-server/path/to/target_file',
  path    => ['/usr/bin', '/bin'],
  # 只有当临时校验文件和本地存储的不一致时才执行
  onlyif  => '! diff /tmp/target_file.md5 /etc/local/target_file.md5 > /dev/null 2>&1',
  # 这里的notify只会在这个Exec实际执行时触发
  notify  => Service['your_app_service'],
  # 依赖第一步的校验文件下载完成
  require => Exec['fetch_temp_checksum'],
}

# 依赖文件更新的服务，只在大文件真的更新时重启
service { 'your_app_service':
  ensure => running,
}

这个方法的好处是简单直接，不需要额外的自定义资源，利用Puppet原生的Exec参数就能控制变更触发时机——只有当校验值确实变化，update_target_file执行时，才会通知订阅的服务。

方法二：用自定义事实提前获取远程校验值 #

把校验文件的下载放到Puppet的事实收集阶段，这样校验值的获取不会影响资源的变更状态：

1. 在目标节点的/opt/puppetlabs/facter/facts.d/目录下创建一个可执行脚本（比如remote_checksum.sh）：

#!/bin/bash
# 静默获取远程校验值，输出Facter能识别的格式
echo "target_file_remote_md5=$(wget -q -O - http://your-server/path/to/target_file.md5)"

给脚本加执行权限：chmod +x /opt/puppetlabs/facter/facts.d/remote_checksum.sh

2. 在Puppet manifest中对比远程事实和本地存储的校验值：

# 读取本地存储的校验值，默认空字符串
$local_md5 = file('/etc/local/target_file.md5', 'replace' => false, 'default' => '')

# 只有当远程校验值和本地不一致时，才执行下载操作
if $facts['target_file_remote_md5'] != $local_md5 {
  exec { 'download_and_update_target_file':
    command => "wget -q -O /opt/app/target_file http://your-server/path/to/target_file && echo '${facts['target_file_remote_md5']}' > /etc/local/target_file.md5",
    path    => ['/usr/bin', '/bin'],
    notify  => Service['your_app_service'],
  }
}

service { 'your_app_service':
  ensure => running,
}

这种方式的优势是，校验文件的下载在Puppet编译之前就完成了，不会在资源列表里产生“总是执行但无变更”的资源，逻辑更清晰，也避免了不必要的资源执行记录。

方法三：自定义Puppet类型（适合通用模块） #

如果这个下载逻辑是你模块的核心功能，推荐封装成自定义类型，把校验、对比、下载的逻辑都放在类型内部，只有当大文件实际更新时才返回“变更”状态。

比如自定义一个remote_file_with_checksum类型，内部实现：

• 下载远程校验文件
• 对比本地校验值
• 若不一致，下载大文件并更新本地校验值
• 仅当大文件下载完成时，向Puppet报告状态变更

这种方式最优雅，也能让模块的使用者更简洁地调用，避免重复写Exec逻辑。

内容的提问来源于stack exchange，提问作者UncleBob