Installer un serveur CINC : inventaire et recherche sur le parc

Le local mode vous mène loin, mais il ne saura jamais répondre à « quelles machines existent ? » ni « lesquelles portent ce rôle ? ». Ces questions exigent un serveur. Ce module monte un serveur CINC, la distribution libre du Chef Infra Server, y enrôle un nœud, et montre ce que cela débloque réellement : un inventaire centralisé et la recherche sur le parc. L'installation réserve quelques pièges : ils sont tous documentés ici. Public visé : avancés ayant décidé que le serveur se justifiait.

Ce que vous allez apprendre

• Installer et configurer un serveur CINC.
• Créer une organisation et un utilisateur.
• Enrôler un nœud avec knife bootstrap.
• Interroger le parc avec knife search.

Prérequis

• Avoir tranché la question du serveur (Local mode ou serveur ?).
• Une machine dédiée : comptez 8 Go de RAM et 4 vCPU, le serveur embarque PostgreSQL, OpenSearch et nginx.

Le serveur open source change de mainteneur fin 2026

À connaître avant de monter ce serveur. En novembre 2025, Progress a annoncé la fin du Chef Infra Server open source, au profit de sa plateforme commerciale Chef 360 : plus aucune correction, y compris de sécurité, après octobre 2026, et dépôts en lecture seule en novembre 2026.

Le projet CINC a répondu en transformant son rebuild en fork indépendant : Cinc Server 16.0.0, annoncé comme une continuation transparente (mêmes chemins de configuration, mêmes noms de binaires), attendu vers novembre 2026.

Concrètement : la série 15.x installée ici reste fonctionnelle, mais elle n'aura plus de correctifs passé octobre 2026. Prévoyez la bascule vers Cinc Server 16 dans votre planning. Le sujet est traité dans Quel avenir pour Chef et CINC.

Installer le serveur

Le paquet ne s'appelle pas cinc-server mais cinc-server-core. C'est la première erreur classique : chercher un paquet qui n'existe pas.

VER=15.10.114
curl -fsSLO "https://downloads.cinc.sh/files/stable/cinc-server/${VER}/debian/13/cinc-server-core_${VER}-1_amd64.deb"
sudo dpkg -i cinc-server-core_*.deb

L'installation ne fait que déposer les fichiers (environ 360 Mo). C'est la reconfiguration qui construit réellement le serveur : elle déploie PostgreSQL, OpenSearch, nginx et les services internes. Comptez plusieurs minutes.

sudo cinc-server-ctl reconfigure --chef-license accept

Deux lacunes de packaging sur Debian 13

La reconfiguration peut échouer sur deux manques, et les messages d'erreur ne disent pas quoi faire. Les voici, avec leur parade.

1. partybus n'a pas sa configuration (le module de migration) :

cannot load such file -- /opt/cinc-project/embedded/service/partybus/config.rb

Le paquet livre un config.rb.example, pas le config.rb attendu. On le crée :

/opt/cinc-project/embedded/service/partybus/config.rb

Partybus.configure do |c|
  c.partybus_migration_directory = "/opt/cinc-project/embedded/upgrades"
  c.migration_state_file         = "/var/opt/opscode/upgrades/migration-level"
end

2. /etc/cron.hourly n'existe pas sur une image minimale :

EnclosingDirectoryDoesNotExist: Parent directory /etc/cron.hourly does not exist.

Il suffit de le créer : sudo mkdir -p /etc/cron.hourly.

Relancez la reconfiguration après chaque correction. Le succès est explicite :

Cinc Server Reconfigured!

Créer l'organisation et l'utilisateur

Un serveur Chef isole les données par organisation. Il faut donc au moins un utilisateur et une organisation, chacun repartant avec une clé RSA.

sudo cinc-server-ctl user-create stephane Stephane Robert admin@lab.local \
  'MotDePasse!' --filename /tmp/stephane.pem

sudo cinc-server-ctl org-create lab "Lab Chef" \
  --association_user stephane --filename /tmp/lab-validator.pem

Deux clés en sortent, aux rôles bien distincts. stephane.pem est votre clé personnelle : c'est elle qui vous authentifie depuis le poste de travail. lab-validator.pem est la clé de validation : elle sert uniquement à créer l'identité d'un nouveau nœud lors de son enrôlement.

La clé de validation est un passe-partout

La clé de validation permet de créer une identité sur le serveur. Quiconque la possède peut y enregistrer une machine. Elle ne doit jamais être versionnée ni traîner sur les nœuds après leur enrôlement (knife bootstrap la retire une fois le client créé). Protégez-la comme un secret.

Configurer le poste de travail

Le poste dialogue avec le serveur via un config.rb qui pointe vers l'URL de l'organisation, et non vers la racine du serveur.

.chef/config.rb

chef_server_url  "https://cinc-server.local/organizations/lab"
node_name        "stephane"
client_key       File.expand_path("stephane.pem", File.dirname(__FILE__))
cookbook_path    [File.expand_path("../cookbooks", File.dirname(__FILE__))]

Le serveur présente un certificat auto-signé. Il faut donc le récupérer et le faire confiance, ce que knife sait faire :

knife ssl fetch
knife ssl check

Successfully verified certificates from `cinc-server.local'

Le nom doit correspondre au certificat

Piège classique : le certificat est émis pour cinc-server.local. Si vous vous connectez à cinc-server (sans le suffixe), la vérification échoue :

ERROR: You are attempting to connect to:   'cinc-server'
ERROR: The server's certificate belongs to 'cinc-server.local'

Utilisez exactement le nom du certificat, dans le chef_server_url et dans la résolution DNS des nœuds.

La connexion se vérifie d'un coup :

knife user list

stephane

Publier les cookbooks

En mode serveur, les nœuds ne lisent plus vos cookbooks sur votre disque : ils les téléchargent depuis le serveur. Il faut donc les y publier.

knife cookbook upload webstack durcissement
knife cookbook list

Uploaded 2 cookbooks.

durcissement: 1.0.0
webstack:     1.0.0

Enrôler un nœud

knife bootstrap se connecte en SSH, installe l'agent, crée l'identité du nœud sur le serveur, puis lance une première convergence.

knife bootstrap 192.168.122.245 \
  --ssh-user ubuntu --sudo -i ~/.ssh/id_ed25519 \
  --node-name web-srv1 \
  --run-list 'recipe[webstack]'

Creating a new client identity for web-srv1 using the validator key.
Infra Phase complete, 2/11 resources updated in 02 seconds

CINC lit /etc/cinc, pas /etc/chef

Le piège qui coûte le plus de temps. Un nœud qui a déjà servi en local mode garde une identité dans /etc/cinc/ (client.pem, client.rb). Le bootstrap la réutilise, le serveur ne la reconnaît pas, et vous récoltez un laconique :

Net::HTTPClientException: 401 "Unauthorized"

Attention : c'est bien /etc/cinc/ qu'il faut nettoyer, pas /etc/chef/. Nettoyer le mauvais répertoire ne change rien, et le message d'erreur ne vous aidera pas.

sudo rm -f /etc/cinc/client.pem /etc/cinc/client.rb /etc/cinc/validation.pem

Ce que le serveur débloque vraiment

C'est ici que le serveur justifie son coût. Deux capacités, impossibles en local mode.

Un inventaire, sans se connecter aux machines

Le serveur conserve ce que chaque nœud lui a rapporté lors de sa dernière convergence. Vous interrogez cette mémoire, pas la machine :

knife node show web-srv1

Node Name:   web-srv1
Environment: _default
FQDN:        chef-node-1.local
IP:          192.168.122.245
Run List:    recipe[webstack]
Recipes:     webstack, webstack::install, webstack::config
Platform:    debian 13

Aucune connexion SSH n'a eu lieu. Sur un parc de plusieurs centaines de machines, c'est la différence entre savoir et aller voir.

La recherche sur le parc

C'est la fonctionnalité que le local mode ne remplacera jamais. Le serveur indexe les attributs de tous les nœuds, et vous les interrogez :

knife search node 'platform:debian' -i
knife search node 'recipes:webstack*' -i

1 items found
web-srv1

La question « quelles machines portent cette recette ? » obtient enfin une réponse. Et cette recherche est disponible depuis une recette : un serveur web peut découvrir l'adresse de la base de données sans qu'on la lui code en dur. C'est ce qui rend une infrastructure réellement dynamique.

Dépannage

L'installation du serveur est le passage le plus accidenté de ce parcours. Voici les erreurs rencontrées et leur parade.

Symptôme	Cause probable	Solution
Paquet cinc-server introuvable	Il s'appelle cinc-server-core	Télécharger le bon nom
cannot load such file -- .../partybus/config.rb	Configuration absente du paquet	La créer (voir plus haut)
Parent directory /etc/cron.hourly does not exist	Image minimale sans cron	sudo mkdir -p /etc/cron.hourly
The server's certificate belongs to 'cinc-server.local'	Nom d'hôte ne correspondant pas au certificat	Utiliser exactement le nom du certificat
401 "Unauthorized" au bootstrap	Ancienne identité dans /etc/cinc/	Supprimer client.pem et client.rb dans /etc/cinc
Le nœud ne trouve pas ses cookbooks	Ils ne sont pas publiés	knife cookbook upload

Glissez pour voir

À retenir

1. Le paquet s'appelle cinc-server-core ; l'installation dépose les fichiers, c'est reconfigure qui construit le serveur.
2. Sur Debian 13, deux lacunes de packaging bloquent la reconfiguration : partybus/config.rb et /etc/cron.hourly.
3. Un serveur isole par organisation ; deux clés en sortent : la vôtre (authentification) et le validateur (enrôlement), qui est un passe-partout à protéger.
4. Le certificat est auto-signé : knife ssl fetch, et le nom d'hôte doit correspondre au certificat.
5. En mode serveur, les cookbooks se publient (knife cookbook upload) : les nœuds les téléchargent.
6. Un nœud ex-local mode garde son identité dans /etc/cinc/ (et non /etc/chef/) : la nettoyer, sinon 401.
7. Le serveur débloque l'inventaire sans connexion et la recherche sur le parc, y compris depuis une recette.

Pour aller plus loin

• Panorama des outils de gestion de configuration : comparer ce modèle serveur à celui de Puppet ou Salt.

×

📖 Voir la documentation →