[系统运维]部署Ansible

管理Ansible配置文件

Ansible配置文件优先级

? ANSIBLE_CONFIG > 当前目录下的ansible.cfg > ~/.ansible.cfg > /etc/ansible/ansible.cfg

ANSIBLE_CONFIG环境变量

? ANSIBLE_CONFIG环境变量可以自定义配置文件的位置，在定义变量时，Ansible将使用自定义所指定夫人配置文件，而不用到其它任何配置文件

./ansible.cfg

? 在当前目录下有ansible.cfg文件时，此时使用的配置文件除了ANSIBLE_CONFIG环境变量以外当前目录的ansible.cfg配置文件优先级最高

~/ansible.cfg

? 如果在当前目录下找不到ansible.cfg配置文件时，就会到家目录下去寻找，家目录中如果有ansible.cfg配置文件时，就会使用该配置文件

/etc/ansible/ansible.cfg

? 基本的配置文件，在寻找不到其它位置的配置文件时，就会使用该配置文件，该配置文件位于/etc/ansible/ansible.cfg

[root@localhost ~]# ansible --version		#使用命令查看所安装的ansible版本和正在使用的配置文件
ansible 2.9.23
  config file = /etc/ansible/ansible.cfg
  configured module search path = ['/root/.ansible/plugins/modules', '/usr/share/ansible/plugins/modules']
  ansible python module location = /usr/lib/python3.6/site-packages/ansible
  executable location = /usr/bin/ansible
  python version = 3.6.8 (default, Dec  3 2020, 18:11:24) [GCC 8.4.1 20200928 (Red Hat 8.4.1-1)]

配置文件的设置

? Ansible配置文件由几个部分组成，每一个部分都含有键值对形式的定义设置，其中部分标题以中括号括起来，基本操作包含两个部分：

? [defaults]部分设置ansible操作的默认值

? [privilege_escalation]配置ansible如何在受管主机上执行特权升级

• [defaults] 配置

[defaults]

inventory = /etc/ansible/hosts		#Ansible需要连接管理的主机列表hosts文件路径，默认/etc/ansible/hosts
roles_path = /etc/ansible/roles		#ansible role存放路径，默认/etc/ansible/roles
log_path = /var/log/ansible.log		#Ansible日志路径，默认/var/log/ansible.log

timeout = 10		#SSH连接超时时间，默认10s
host_key_checking = False		#ansible第一次连接客户端是是否要检查ssh密钥

forks = 5		#ansible执行并发数,默认5
poll_interval = 15		#异步执行任务时查询间隔，默认15s
sudo_user = root		#执行ansible命令时使用的用户，默认root
remote_port = 22		#远程主机SSH端口，默认22
remote_user = root		#ansible执行playbook时远程认证用户，默认root

library = /usr/share/my_modules/		#Ansible搜寻模块的位置,默认/usr/share/my_modules/
module_utils = /usr/share/my_module_utils/

module_lang = C		#ansible模块运行语言环境，默认C
module_set_locale = False
module_name=command		#ansible使用模块，默认command

• [privilege_escalation]配置

[privilege_escalation]
become=True		#是否开启become模式
become_method=sudo		#定义become连接方式
become_user=root		#定义become用户
become_ask_pass=False		#是否设置become提示密码

配置连接

Ansible需要知道如何与其受管主机通信。更改配置文件的一个最常见原因是为了控制Ansible使用什么方法和用户来管理受管主机，默认是管理员。需要的一些信息包括：

• 列出受管主机和主机组的清单的位置
• 要使用哪一种连接协议来与受管主机通信（默认为SSH），以及是否需要非标准网络端口来连接服务器
• 要在受管主机上使用哪一远程用户；这可以是root用户或者某一非特权用户
• 如果远程用户为非特权用户，Ansible需要知道它是否应尝试将特权升级为root以及如何进行升级（例如，通过sudo）
• 是否提示输入SSH密码或sudo密码以进行登录或获取特权

连接设置

默认情况下，Ansible使用SSH协议连接受管主机。控制Ansible如何连接受管主机的最重要参数在[defaults]部分中设置。

默认情况下，Ansible尝试连接受管主机时使用的用户名与运行ansible命令的本地用户相同。若要指定不同的远程用户，请将remote_user参数设置为该用户名。

如果为运行Ansible的本地用户配置了SSH私钥，使得它们能够在受管主机上进行远程用户的身份验证，则Ansible将自动登录。如果不是这种情况，可以通过设置指令ask_pass = true，将Ansible配置为提示本地用户输入由远程用户使用的密码。

[root@localhost ansible]# cat cctv  	#清单文件
[awebservers]
192.168.240.40 ansible_password=1 

[root@localhost ansible]# vi ansible.cfg	#设置连接用户
# some basic default values...
#inventory      = /etc/ansible/hosts
inventory      = /etc/ansible/cctv
# default user to use for playbooks if user is not specified
# (/usr/bin/ansible will use current user as default)
remote_user = user1	#设置远程的用户

[root@localhost ansible]# ansible all -m ping	#ping连接
192.168.240.40 | SUCCESS => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/libexec/platform-python"
    },
    "changed": false,
    "ping": "pong"
}

[root@localhost ansible]# ansible all -m command -a 'touch 123321'	#使用user用户创建文件
[WARNING]: Consider using the file module with state=touch rather than running
'touch'.  If you need to use command because file is insufficient you can add
'warn: false' to this command task or set 'command_warnings=False' in ansible.cfg
to get rid of this message.
192.168.240.40 | CHANGED | rc=0 >>

[user1@localhost ~]$ ls	#切换到user1查看
123321  asd

升级特权

鉴于安全性和审计原因，Ansible可能需要先以非特权用户身份连接远程主机，然后再通过特权升级获得root用户身份的管理权限。这可以在Ansible配置文件的[privilege_escalation]部分中设置。

要默认启用特权升级，可以在配置文件中设置指令become = true。即使默认为该设置，也可以在运行临时命令或Ansible Playbook时通过各种方式覆盖它。（例如，有时候可能要运行一些不需要特权升级的任务或play。）

become_method指令指定如何升级特权。有多个选项可用，但默认为使用sudo。类似地，become_user指令指定要升级到的用户，但默认为root。

如果所选的become_method机制要求用户输入密码才能升级特权，可以在配置文件中设置become_ask_pass = true指令。

以下示例ansible.cfg文件假设你可以通过基于SSH密钥的身份验证以someuser用户身份连接受管主机，并且someuser可以使用sudo以root用户身份运行命令而不必输入密码：

[root@localhost ~]# visudo		#将用户设置sudo权限
## Allow root to run any commands anywhere
root    ALL=(ALL)       ALL
user1    ALL=(ALL)       ALL

[root@localhost ansible]# vi ansible.cfg 		#配置用户连接
# default user to use for playbooks if user is not specified
# (/usr/bin/ansible will use current user as default)
remote_user = user1
[privilege_escalation]
become=True
become_method=sudo
become_user=root
become_ask_pass=False

[root@localhost ansible]# cat cctv 	#清单文件
[awebservers]
192.168.240.40 ansible_password=1 ansible_sudo_pass=1 

[root@localhost ansible]# ansible all -m command -a 'touch cdfe'	#创建文件
[WARNING]: Consider using the file module with state=touch rather than running
'touch'.  If you need to use command because file is insufficient you can add
'warn: false' to this command task or set 'command_warnings=False' in ansible.cfg
to get rid of this message.
192.168.240.40 | CHANGED | rc=0 >>

[user1@localhost ~]$ ls		#切换用户查看
123321  asd
[user1@localhost ~]$ ll
总用量 0
-rw-rw-r--. 1 user1 user1 0 7月  14 22:31 123321
-rw-rw-r--. 1 user1 user1 0 7月  14 22:29 asd
-rw-r--r--. 1 root  root  0 7月  14 22:46 cdfe
-rw-r--r--. 1 root  root  0 7月  15 03:56 qwerr

非SSH连接

? 默认情况下，Ansible用于连接受管主机的协议设置为smart，它会确定使用SHH的最高效方式。可以通过多种方式将其设置为其他的值。

例如，默认使用SSH的规则有一个例外。如果目录中没有localhost，Ansible将设置一个隐式localhost条目以便允许运行以localhost为目标的临时命令和playbook。这一特殊清单条目不包括在all或ungrouped主机组中。此外，Ansible不使用smart SSH连接类型，而是利用默认的特殊local连接类型来进行连接。

[root@localhost ~]# ansible localhost --list-hosts
  hosts (1):
    localhost
[root@localhost ~]# ansible localhost -m ping
localhost | SUCCESS => {
    "changed": false,
    "ping": "pong"
}

? local连接类型忽略remote_user设置，并且直接在本地系统上运行命令。如果使用特权升级，它会在运行sudo时使用运行Ansible命令的用户，而不是remote_user。如果这两个用户具有不同的sudo特权，这可能会导致混淆。

? 如果你要确保像其他受管主机一样使用SSH连接localhost，一种方法是在清单中列出它。但是，这会将它包含在all和ungrouped组中，而你可能不希望如此。

? 另一种方法是更改用于连接localhost的协议。执行此操作的最好方法是为localhost设置ansible_connection主机变量。为此，你需要在运行Ansible命令的目录中创建host_vars子目录。在该子目录中，创建名为localhost的文件，其应含有ansible_connection: smart这一行。这将确保对localhost使用smart（SSH)连接协议，而非local。

你也可以通过另一种变通办法来使用它。如果清单中列有127.0.0.1，则默认情况下，将会使用smart来连接它。也可以创建一个含有ansible_connection: local这一行的host_vars/127.0.0.1文件，它会改为使用local

配置文件注释

? ansible配置文件两种注释符：#|；

? **#**必须位于行的开头，用于注释整行，不能出现现在同一行中

? **；**可以注释掉所在行的右侧所有内容，可以出现在同一行中任何位置，只要该指令在其左侧

临时命令

? 临时化模块可以对命令进行快速的更改，无需编辑playbook

? 基本格式：ansible host-pattern(主机） -m module [-a ‘module arguments’] [-i inventory] -o

? 其中host-pattern(主机）可以使是单个主机，也可是主机群

? 参数：

? -m 指定模块

? -a 指定模块中的命令

? -i 指定读取的清单

? -o 使输出在同一行

? host-pattern参数用于指定在其上运行临时命令的受管主机。它可以是清单中的特定受管主机或主机组。也可以用后面的-i选项指定特定的清单而不使用默认清单。

? 一种最简单的临时命令使用ping模块。此模块不执行ICMP ping，而是检查能否在受管主机上运行基于Python的模块。

[root@localhost ~]# ansible all -m ping		#临时命令确定清单中的所有受管主机能否运行标准的模块
192.168.240.40 | SUCCESS => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/libexec/platform-python"
    },
    "changed": false,
    "ping": "pong"
}

ansible-doc -l

? 列出系统上安装的所有模块。可以使用ansible-doc来按照名称查看特定模块的帮助文档，再查找关于模块将取什么参数作为选项的信息。例如以下命令显示ping模块的帮助文档，在帮助文档里面输入**q**命令表示退出：

[root@localhost ~]# ansible-doc -l
a10_server                                                    Manage A10 Netw...
a10_server_axapi3                                             Manage A10 Netw...
a10_service_group                                             Manage A10 Netw...
a10_virtual_server                                            Manage A10 Netw...
aci_aaa_user                                                  Manage AAA user...
aci_aaa_user_certificate                                      Manage AAA user...
aci_access_port_block_to_access_port                          Manage port blo...
aci_access_port_to_interface_policy_leaf_profile              Manage Fabric i...
aci_access_sub_port_block_to_access_port                      Manage sub port...
·······

Ansible常用模块

? 大部分模块会取用参数。可在模块的文档中找到可用于该模块的参数列表。临时命令可以通过**-a**选项向模块传递参数。无需参数时，可从临时命令中省略-a选项。如果需要指定多个参数，请以引号括起的空格分隔列表形式提供。

 ansible all -m user -a 'name=lq uid=2021 state=present'	#	创建用户
 ansible all -m user -a 'name=lq uid=2041 state=absent'		#	删除用户

在受管主机上运行任意命令

? command模块允许管理员在受管主机的命令行中运行任意命令。要运行的命令通过-a选项指定为该模块的参数

[root@localhost ansible]# ansible awebservers -m command -a 'hostname' 
192.168.240.40 | CHANGED | rc=0 >>
localhost.localdomain

? 第一行是状态报告，显示对其运行临时操作的受管主机名称及操作的结果。第二行是使用Ansible command模块远程执行的命令的输出。

? 若要改善临时命令输出的可读性和解析，管理员可能会发现使对受管主机执行的每一项操作具有单行输出十分有用。使用**-o**选项以单行格式显示Ansible临时命令的输出。

[root@localhost ansible]# ansible awebservers -m command -a 'hostname' -o
192.168.240.40 | CHANGED | rc=0 | (stdout) localhost.localdomain

? ommand模块允许管理员对受管主机快速执行远程命令。这些命令不是由受管主机上的shell加以处理。因此，它们无法访问shell环境变量，也不能执行重定向和管道等shell操作。

? 在命令需要shell处理的情形中，管理员可以使用shell模块。与command模块类似，可以在临时命令中将要执行的命令作为参数传递给该模块。Ansible随后对受管主机远程执行该命令。与command模块不同的是，这些命令将通过受管主机上的shell进行处理。因此，可以访问shell环境变量，也可以使用重定向和管道等操作。

command与shell的区别

[root@localhost ansible]# ansible all -m command -a 'hostname'
192.168.240.40 | CHANGED | rc=0 >>
localhost.localdomain

[root@localhost ansible]# ansible all -m shell -a 'hostname'
192.168.240.40 | CHANGED | rc=0 >>
localhost.localdomain

? command和shell模块都要求受管主机上安装正常工作的Python。第三个模块是raw，它可以绕过模块子系统，直接使用远程shell运行命令。在管理无法安装Python的系统（如网络路由器）时，可以利用这个模块。它也可以用于将Python安装到主机上。

? 在大多数情况下，建议避免使用command、shell和raw这三个“运行命令”模块。

? 其他模块大部分都是幂等的，可以自动进行更改跟踪。它们可以测试系统的状态，在这些系统已处于正确状态时不执行任何操作。相反，以幂等方式使用“运行命令”模块要复杂得多。依靠它们，你更难以确信再次运行临时命令或playbook不会造成意外的失败。当shell或command模块运行时，通常会基于它是否认为影响了计算机状态而报告CHANGED状态。

? 有时候，“运行命令”模块是有用的工具，也是解决问题的好办法。如果确实需要使用它们，可能最好先尝试用command模块，只有在需要shell或raw模块的特殊功能时才利用它们。

配置临时命令的连接

在使用命令行选项配置这些指令前，可以通过查询ansible --help的输出来确定其当前定义的值。

[root@localhost ansible]# ansible --help