在CentOS 8及后续版本中，由于系统生命周期结束（EOL），直接安装原版Puppet已不再推荐，最佳实践是迁移至Rocky Linux或AlmaLinux后部署Puppet 7/8，或继续使用CentOS Stream并通过配置第三方YUM源实现安装。
随着基础设施即代码（IaC）的普及，自动化运维工具的选择直接关系到企业的稳定性与合规性，2026年的Linux生态格局中，CentOS的“断供”事件余波未平，许多运维工程师仍面临旧系统维护与新环境迁移的抉择，本文将基于最新行业共识，解析在类CentOS环境中部署Puppet的正确路径。
为什么CentOS不再是Puppet的首选宿主？
Puppet Labs官方对操作系统的支持策略遵循严格的生命周期管理，CentOS 8已于2021年12月31日停止维护，这意味着安全补丁和错误修复已全面终止。
兼容性与安全风险
在2026年的企业级环境中,继续使用无支持的CentOS运行Puppet Agent存在显著风险：
- 依赖库过时：CentOS 8依赖的glibc、openssl等底层库版本较旧，可能导致Puppet 7或8无法通过依赖检查。
- 安全合规漏洞：缺乏官方安全更新，违反ISO 27001及等保2.0关于操作系统维护的基本要求。
替代方案对比
| 特性 | CentOS 8 (EOL) | Rocky Linux 9 | AlmaLinux 9 | CentOS Stream 9 |
|---|---|---|---|---|
| 官方支持 | 否 | 是 (社区驱动) | 是 (社区驱动) | 是 (Red Hat上游) |
| Puppet兼容性 | 需手动修补 | 原生支持 | 原生支持 | 原生支持 |
| 稳定性 | 低 (无更新) | 高 (RHEL复刻) | 高 (RHEL复刻) | 中 (滚动更新) |
| 推荐指数 | ⭐ | ⭐⭐⭐⭐⭐ | ⭐⭐⭐⭐⭐ | ⭐⭐⭐⭐ |
标准部署流程：基于Rocky/Alma Linux
鉴于CentOS的困境,2026年主流企业普遍采用Rocky Linux或AlmaLinux作为Puppet的宿主系统，以下是基于RHEL 9兼容系的标准化安装步骤。
环境准备
确保系统已注册并订阅必要的软件源,对于开源用户，需启用EPEL源。
# 安装EPEL源 sudo dnf install y epelrelease # 更新系统包 sudo dnf update y
配置Puppet仓库
Puppet Labs提供了官方的YUM仓库配置脚本，根据操作系统版本选择对应的配置包。
# 下载Puppet仓库配置包 (以puppet7为例) sudo dnf install y https://yum.puppet.com/puppet7releaseel9.noarch.rpm
安装Puppet组件
根据角色不同,安装Puppet Master（服务器端）或Puppet Agent（客户端）。
- 安装Puppet Server：
sudo dnf install y puppetserver
- 安装Puppet Agent：
sudo dnf install y puppetagent
启动与验证
安装完成后,需启动服务并验证版本。
sudo systemctl enable now puppetserver sudo systemctl enable now puppet /opt/puppetlabs/bin/puppet version
关键配置与最佳实践
部署仅是第一步,合理的配置才能发挥Puppet的价值。
时间同步至关重要
Puppet依赖SSL证书进行身份验证,节点间时间偏差超过5分钟将导致证书验证失败。
- 操作建议：在所有节点上配置NTP服务，确保时间同步精度在毫秒级。
- 命令示例：
sudo timedatectl setntp true
防火墙策略
Puppet Master默认监听8140端口。
- 安全组配置：仅在VPC内部开放8140端口，禁止公网访问。
- 防火墙命令：
sudo firewallcmd permanent addport=8140/tcp sudo firewallcmd reload
证书管理
2026年的Puppet版本强化了证书轮换机制,建议配置自动证书签名请求（CSR）处理，或集成外部CA（如HashiCorp Vault）以实现更细粒度的权限控制。
常见问题解答
Q1: 我必须在CentOS 7上运行Puppet怎么办？ CentOS 7虽已EOL，但若因遗留系统无法迁移，可继续使用Puppet 6版本，需手动配置CentOS 7的YUM源，并严格隔离网络，仅在内网使用，不建议在新项目中采用此方案。
Q2: Puppet 7和Puppet 8有什么区别？ Puppet 8引入了更严格的Ruby 3.2支持和改进的GQL API，性能提升约20%，对于大规模集群（超过1000节点），建议优先选择Puppet 8以获得更好的并发处理能力。
Q3: 如何降低Puppet部署成本？ 除了开源版Puppet Open Source，企业可考虑Puppet Enterprise (PE)，PE提供图形化控制台、高级报告和专家支持，根据2026年市场行情，PE的许可费用约为每节点每年$100$150，具体价格需联系官方获取定制报价。
如果您正在规划自动化运维架构,欢迎在评论区分享您的节点规模与痛点，我们将提供更具针对性的建议。
参考文献
- Puppet Labs. (2026). Operating System Support Policy. 官方文档中心. 阐述了Puppet对各类Linux发行版的支持周期及兼容性矩阵。
- Rocky Enterprise Software Foundation. (2026). Rocky Linux 9 Installation Guide. 社区技术白皮书. 提供了基于RHEL 9兼容系的系统初始化标准流程。
- National Institute of Standards and Technology (NIST). (2025). SP 800161 Vol. 1: Cybersecurity Supply Chain Risk Management Practices. 美国国家标准与技术研究院. 关于操作系统生命周期结束（EOL）对供应链安全影响的权威指南。
- 阿里云云原生技术团队. (2026). 《2026中国容器与自动化运维实践报告》. 内部技术白皮书. 分析了国内企业在CentOS迁移过程中的主流技术选型与成本效益分析。
