Ansible_利用系统角色重用内容
一、红帽企业Linux系统角色
1、RHEL系统角色
| 名称 | 状态 | 角色描述 |
|---|---|---|
| rhel-system-roles.kdump | 全面支持 | 配置kdump崩溃恢复服务 |
| rhel-system-roles.network | 全面支持 | 配置网络接口 |
| rhel-system-roles.selinux | 全面支持 | 配置和管理SELinux自定义， 包括SELinux模式、文件和端口上下文、 布尔值设置以及SELinux用户 |
| rhel-system-roles.timesync | 全面支持 | 使用网络时间协议或精确时间协议配置时间同步 |
| rhel-system-roles.postfix | 技术预览 | 使用Postfix服务将每个主机配置为邮件传输代理 |
| rhel-system-roles.firewall | 开发中 | 配置主机的防火墙 |
| rhel-system-roles.tuned | 开发中 | 配置tuned服务，以调优系统性能 |
二、简化配置管理
- 举例而言，RHEL7的建议时间同步服务为chronyd服务。但在RHEL6中，建议的服务为ntpd服务。在混合了RHEL6和7主机的环境中，管理员必须管理这两个服务的配置文件
- 借助RHEL系统角色，管理员不再需要维护这两个服务的配置文件。管理员可以使用rhel-system-roles.timesync角色来配置RHEL6和7主机的时间同步。
- 一个包含角色变量的简化YAML文件可以为这两种类型的主机定义时间同步配置。
三、安装RHEL系统角色
1、安装红帽系统角色
1️⃣：RHEL系统角色由rhel-system-roles软件包提供，该软件包可从AppStream获取。在Ansible控制节点上安装该软件包。
- 安装红帽系统角色
[root@localhost ~]# yum install -y rhel-system-roles
- 安装完成后可以在/usr/share/ansible/roles目录下查看红帽系统角色
[root@localhost ~]# ls /usr/share/ansible/roles/ linux-system-roles.kdump linux-system-roles.postfix linux-system-roles.storage rhel-system-roles.kdump rhel-system-roles.postfix rhel-system-roles.storage linux-system-roles.network linux-system-roles.selinux linux-system-roles.timesync rhel-system-roles.network rhel-system-roles.selinux rhel-system-roles.timesync
2️⃣：红帽企业Linux中的默认roles_path在路径中包含/usr/share/ansible/roles，因此在playbook引用这些角色时Ansible可以很轻松的找到它们。
- roles_path可以在/etc/ansible/ansible.cfg文件中指定
[root@localhost ~]# grep roles_path /etc/ansible/ansible.cfg #roles_path = /etc/ansible/roles
3️⃣：注意：
- 如果在当前Ansible配置文件中覆盖了roles_path，设置了环境变量ANSIBLE_ROLES_PATH
- 或者roles_path中更早列出的目录下存在另一个同名的角色，则Ansible可能无法找到系统角色
四、访问RHEL系统角色文档
1、在安装完成rhel-system-roles包后，查看系统角色文档
[root@localhost ~]# ls /usr/share/doc/rhel-system-roles/
kdump network postfix selinux storage timesync
2、关于系统角色文档介绍
1️⃣：每个角色的文档目录均包含一个README.md文件。README.md文件含有角色的说明，以及角色用法信息（.md是指用markdown写的文件）
2️⃣：README.md文件也会说明影响角色行为的角色变量。通常，README.md文件中含有一个playbook代码片段，用于演示常见配置场景的变量设置
3️⃣：部分角色文档目录中含有示例playbook。首次使用某一角色时，请查看文档目录中的任何额外示例playbook
- 简单实例：
[root@localhost ~]# cd /usr/share/ansible/roles/ [root@localhost roles]# cd rhel-system-roles.network/ [root@localhost rhel-system-roles.network]# less README.md Examples of Options ------------------- Setting the same connection profile multiple times: ```yaml network_connections: - name: Wired0 type: ethernet interface_name: eth0 ip: dhcp4: yes - name: Wired0 state: up、
五、RHEL系统角色演示实例
1、时间同步角色示例
1️⃣：RHEL系统中时间同步角色的playbook是：rhel-system-rolses.timesync
2️⃣：首次使用时间同步角色可以在rhel-system-roles.timesync/README.md查看使用的帮助文档；里面包含使用的示例
3️⃣：演示实例：
//查看playbook
[root@localhost project]# cat playbook.yaml
---
- hosts: all
vars:
timesync_ntp_servers:
- hostname: 192.168.121.81
iburst: yes
roles:
- rhel-system-roles.timesync
//查看控制节点的时间
[root@localhost project]# date
Thu Sep 17 03:13:00 CST 2020
//执行play
[root@localhost project]# ansible-playbook playbook.yaml
PLAY [all] ****************************************************************************************************************************************************************
TASK [Gathering Facts] ****************************************************************************************************************************************************
ok: [192.168.121.81]
TASK [rhel-system-roles.timesync : Check if only NTP is needed] ***********************************************************************************************************
ok: [192.168.121.81]
TASK [rhel-system-roles.timesync : Check if single PTP is needed] *********************************************************************************************************
skipping: [192.168.121.81]
TASK [rhel-system-roles.timesync : Check if both NTP and PTP are needed] **************************************************************************************************
skipping: [192.168.121.81]
TASK [rhel-system-roles.timesync : Determine current NTP provider] ********************************************************************************************************
ok: [192.168.121.81]
TASK [rhel-system-roles.timesync : Select NTP provider] *******************************************************************************************************************
ok: [192.168.121.81]
TASK [rhel-system-roles.timesync : Install chrony] ************************************************************************************************************************
ok: [192.168.121.81]
//查看受控主机上的原始时间
[root@localhost ~]# date
Fri Jan 1 08:44:28 CST 1999
//执行play后，受控主机上的时间
4️⃣：此示例在play的vars部分中设置角色变量，但更好的做法可能是将它们配置为主机或主机组的清单变量
2、调用Selinux角色示例
1️⃣：rhel-system-roles.selinux角色可以简化SELinux配置设置的管理。它通过利用SELinux相关的Ansible模块来实施
2️⃣：Selinux角色可以执行的任务包括：
- 设置enforcing或permissive模式
- 对文件系统层次结构的各部分运行restorecon
- 设置SELinux布尔值
- 永久设置SELinux文件上下文
- 设置SELinux用户映射
3️⃣：演示实例：
- 实例说明：使用rhel-system-roles.selinux角色配置修改selinux的属性时，不能立即完整更改，需要重启；
- 其工作方式为，该角色将一个布尔值变量selinux_reboot_required设为True，如果需要重新引导，则失败。
- 你可以使用block/rescure结构来从失败中恢复，具体操作为：如果该变量未设为true，则让play失败，如果值是true，则重新引导受管主机并重新运行该角色
//查看受管主机上的selinux状态
[root@localhost project]# ansible all -a 'cat /etc/selinux/config'
192.168.121.81 | CHANGED | rc=0 >>
# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
# enforcing - SELinux security policy is enforced.
# permissive - SELinux prints warnings instead of enforcing.
# disabled - No SELinux policy is loaded.
SELINUX=enforcing
# SELINUXTYPE= can take one of these three values:
# targeted - Targeted processes are protected,
# minimum - Modification of targeted policy. Only selected processes are protected.
# mls - Multi Level Security protection.
SELINUXTYPE=targeted
//查看playbook
[root@localhost project]# cat playbook.yaml
---
- hosts: all
vars:
selinux_policy: targeted
selinux_state: disabled
tasks:
- name: apply selinux role
block:
- include_role:
name: rhel-system-roles.selinux
rescue:
- name: required reboot
fail:
when: not selinux_reboot_required
- name: reboot host
reboot:
- name: Reapply SELinux role to complete changes
include_role:
name: rhel-system-roles.selinux
//执行play后，查看受管主机上的selinux状态
[root@localhost project]# ansible all -a 'cat /etc/selinux/config'
192.168.121.81 | CHANGED | rc=0 >>
# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
# enforcing - SELinux security policy is enforced.
# permissive - SELinux prints warnings instead of enforcing.
# disabled - No SELinux policy is loaded.
SELINUX=disabled
# SELINUXTYPE= can take one of these three values:
# targeted - Targeted processes are protected,
# minimum - Modification of targeted policy. Only selected processes are protected.
# mls - Multi Level Security protection.
SELINUXTYPE=targeted
3、配置SELinux角色
1️⃣：用于配置rhel-system-roles.selinux角色的变量的详细记录位于其README.md文件中
2️⃣：selinux_state变量设置SELinux的运行模式。它可以设为enforcing、permissive或disabled。如果未设置，则不更改模式（在上一个实例中已经演示了）
3️⃣：selinux_booleans变量取一个要调整的SELinux布尔值的列表作为值。
- 列表中的每一项是变量的散列/字典：布尔值的name、state（它应是on还是off），以及该设置是否应在重新引导后persistent
4️⃣：selinux_fcontext变量取一个要永久设置（或删除）的文件上下文的列表作为值。它的工作方式与selinux fcontent命令非常相似
5️⃣：selinux_restore_dirs变量指定要对其运行restorecon的目录的列表
6️⃣：selinux_ports变量取应当具有特定SELinux类型的端口的列表作为值
7️⃣：演示实例：
- 演示实例一：将httpd_enable_homedirs永久设为on
//查看受管主机上的httpd_enable_homedirs [root@localhost project]# ansible all -m shell -a 'semanage boolean -l | grep httpd_enable_homedirs' 192.168.121.81 | CHANGED | rc=0 >> httpd_enable_homedirs (off , off) Allow httpd to enable homedirs //查看playbook [root@localhost project]# cat playbook.yaml --- - hosts: all vars: selinux_booleans: - name: httpd_enable_homedirs state: on persistent: yes tasks: - include_role: name: rhel-system-roles.selinux //执行paly后，查看受管主机上的httpd_enable_homedirs [root@localhost project]# ansible all -m shell -a 'semanage boolean -l | grep httpd_enable_homedirs' 192.168.121.81 | CHANGED | rc=0 >> httpd_enable_homedirs (on , on) Allow httpd to enable homedirs
- 实例二：设置/root/file的默认安全上下文的属性为httpd_sys_content_t
//查看/root/file的默认安全上下文 [root@localhost project]# ansible all -a "ls -Z" 192.168.121.81 | CHANGED | rc=0 >> system_u:object_r:admin_home_t:s0 anaconda-ks.cfg unconfined_u:object_r:admin_home_t:s0 file //查看playbook [root@localhost project]# cat playbook.yaml --- - hosts: all vars: selinux_fcontexts: - target: /root/file(/.*)? setype: httpd_sys_content_t state: present selinux_restore_dirs: - /root/file tasks: - include_role: name: rhel-system-roles.selinux //执行play后，差看你受管主机上file的安全上下文属性 [root@localhost project]# ansible all -a 'ls -Z' 192.168.121.81 | CHANGED | rc=0 >> system_u:object_r:admin_home_t:s0 anaconda-ks.cfg unconfined_u:object_r:httpd_sys_content_t:s0 file
- 实例三：添加端口号777
//查看受管主机上的httphttp端口 [root@localhost project]# ansible all -m shell -a 'semanage port -l | grep http' 192.168.121.81 | CHANGED | rc=0 >> http_cache_port_t tcp 8080, 8118, 8123, 10001-10010 http_cache_port_t udp 3130 http_port_t tcp 80, 81, 443, 488, 8008, 8009, 8443, 9000 pegasus_http_port_t tcp 5988 pegasus_https_port_t tcp 5989 //查看playbook [root@localhost project]# cat playbook.yaml --- - hosts: all vars: selinux_ports: - ports: 777 setype: http_port_t proto: tcp state: present tasks: - include_role: name: rhel-system-roles.selinux //执行play后，查看受管主机上端口 [root@localhost project]# ansible all -m shell -a 'semanage port -l|grep http' 192.168.121.81 | CHANGED | rc=0 >> http_cache_port_t tcp 8080, 8118, 8123, 10001-10010 http_cache_port_t udp 3130 http_port_t tcp 777, 80, 81, 443, 488, 8008, 8009, 8443, 9000 pegasus_http_port_t tcp 5988 pegasus_https_port_t tcp 59896u
