代码改变世界

从零开始搭建运维体系 - ansible

2018-12-17 14:27  轩脉刃  阅读(1500)  评论(1编辑  收藏

从零开始搭建运维体系 - ansible

基本配置好了局域网内的机器后,第一个遇到的问题就是如何批量操作这么多台机器,ansible就是这么一个自动化运维工具。

ansible是一个基于ssh的批量远程操作命令工具。它有分管理端和被管理端,管理端安装ansible,被管理端什么都不需要安装。这个是非常方便的。只要能远程登陆上就可以。

ansible有两种模式,ansible-hoc和ansible-playbook。简单来说,ansible-hoc就是可以在console上一次执行多个命令。ansible-playbook就是预先编写一个执行步骤,然后在不同机器上执行这个执行步骤。

配置好ssh的用户名密码

我选择使用root账号直接操作ssh的用户,这样我可以站在上帝视角做任何操作,当然这个也是一个双刃剑,也附带一定的危险性。

去每个机器上配置root密码:

passwd root
输入-123456

安装ansible的管理机

ansible的安装比较简单。我选用的是yum安装

安装完成之后,所有的配置文件都在

/etc/ansible/

下面。

ansible配置

修改ansible的默认host配置,在这个配置里面就可以配置上用户名和密码

[local]
localhost ansible_connection=local

[test]
192.168.34.3    ansible_connection=ssh          ansible_user=root       ansible_ssh_pass=123456

[all]
localhost       ansible_connection=local
192.168.34.3    ansible_connection=ssh          ansible_user=root       ansible_ssh_pass=123456
192.168.34.4    ansible_connection=ssh          ansible_user=root       ansible_ssh_pass=123456
"/etc/ansible/hosts" 50L, 1261C

我配置了三个组,其中一个组叫local,它只有ansible的管理机local,直接使用ansible_connection=local就表示是操作的本机。
另外一个组叫做all,这个all包含了三台机器,34.2~4(local)这个机器是本地机器的IP。
还有一个组叫做test,就代表我发布之前先执行这台程序,算是灰度发布。

测试执行第一条命令

第一条命令长这样:

ansible all -m ping

这个就是ansible-hoc模式,其中all 表示ansible操作在all这个组,-m表示调用的是什么模块,ansible有很多模块,这个ping是最常用的模块之一。其他的常用模块使用可以参考ansible常用模块介绍

你有可能返回这个错误

192.168.34.3 | FAILED | rc=-1 >>
Using a SSH password instead of a key is not possible because Host Key checking is enabled and sshpass does not support this.  Please add this host's fingerprint to your known_hosts file to manage this host.

这个就是说需要你把远程服务器加入到known_hosts中,当然你可以不需要加入,修改ansible配置文件/etc/ansible/ansible.cfg

修改这个配置

host_key_checking = False

就可以不需要known_hosts就行了

[root@localhost var]# ansible all -m ping
localhost | SUCCESS => {
    "changed": false,
    "ping": "pong"
}
192.168.34.3 | SUCCESS => {
    "changed": false,
    "ping": "pong"
}
192.168.34.4 | SUCCESS => {
    "changed": false,
    "ping": "pong"
}

使用ansible创建公司用户

我们希望创建一个公司用户,以后业务应用都用这个用户进行运行,而不是使用root。那么用ansible如何操作?

我们可以使用user模块,使用模块的好处是很容易写出幂等的命令。可以多次执行。如果你不知道user模块有哪些可以配置,就使用命令ansible-doc -s user 来查看,或者去官网查看

ansible test -m user -a 'name=company shell=/bin/bash home=/home/company state=present password=$6$mysecretsalt$RGyLyUuTb8ssDdlZDeLV0gn3khYBQkdIAuyRwAVr9WcH5FpUH6V7qBd4ZI59DXaAuL9Zmift0CTv8mCsQG3Ws.'

这里的password是怎么生成的呢?

可以使用这个命令:

ansible all -i localhost, -m debug -a "msg={{ 'company123' | password_hash('sha512', 'mysecretsalt') }}"

将输出的密码复制到用户里面

192.168.34.3 | CHANGED => {
    "append": false,
    "changed": true,
    "comment": "",
    "group": 1001,
    "home": "/home/company",
    "move_home": false,
    "name": "company",
    "password": "NOT_LOGGING_PASSWORD",
    "shell": "/bin/bash",
    "state": "present",
    "uid": 1001
}

创建成功了。这里的state=present代表如果这个用户不存在就创建,如果这个用户存在就不创建。所以这个命令是幂等的。

然后我就可以对所有机器执行这个操作了。

[root@localhost var]# ansible all -m user -a 'name=company shell=/bin/bash home=/home/company state=present password=$6$mysecretsalt$RGyLyUuTb8ssDdlZDeLV0gn3khYBQkdIAuyRwAVr9WcH5FpUH6V7qBd4ZI59DXaAuL9Zmift0CTv8mCsQG3Ws.'

批量修改hostname

我希望修改每个机器的hostname, 根据它的ip(ansible定义给它的host)修改为xx-xx-xx-xx,把ip中的点换成-

这个时候就需要用到playbook了。其实playbook本质就是yml。你可以在yml中定义你这个脚本需要执行在哪个机器,执行哪些命令。

比如修改hostname的playbook如下:

- hosts: test
  tasks:
  - hostname : name={{ ansible_host.split('.') | join('-') }}

操作在test机器组,执行hostname的命令,其中的ansible_host是我ansible调用的host,先用.切割成数组,再用-拼接起来。

如果你还对这些变量和命令比较不熟悉,建议先使用debug模块在ansible-hoc上尝试一下:

[root@localhost ~]# ansible test  -m debug -a "msg={{ansible_host.split('.') | join('-')}}"
192.168.34.3 | SUCCESS => {
    "msg": "192-168-34-3"
}

好,执行这个playbook:

[root@localhost ~]# ansible-playbook /etc/ansible/playbooks/change_hostname.yml

PLAY [test] ******************************************************************************************************************************************

TASK [Gathering Facts] *******************************************************************************************************************************
ok: [192.168.34.3]

TASK [hostname] **************************************************************************************************************************************
changed: [192.168.34.3]

PLAY RECAP *******************************************************************************************************************************************
192.168.34.3               : ok=2    changed=1    unreachable=0    failed=0

登陆到机器上,或者直接使用shell模块看,成功了

[root@localhost ~]# ansible test -m shell -a 'hostname'
192.168.34.3 | CHANGED | rc=0 >>
192-168-34-3

对所有机器执行这个操作,修改/etc/ansible/playbooks/change_hostname.yml里面的hosts为all。

需要把这个company用户加入到sudoer列表中, 并且把我管理机上的company用户设置为授信用户

首先我管理机上company用户先创建公钥,切换到company用户上,命令ssh-keygen生成公钥和私钥,公钥在/home/company/.ssh/id_rsa.pub

授信就是把公钥放到需要授权的机器上的authroized_key中。

增加用户到sudoers呢就是在/etc/sudoers中增加一行用户信息,并且设置NO PASSWORD。

ansible中最爽的就是有模块的概念,这两个操作都有模块提供,一个是linefile模块,一个是authorized_key模块

- hosts: test
  tasks:
  - name: 确保存在company这个group
    group: name=company state=present
  - name: 允许company组的人可以无密码切换sudo
    linefile:
      dest: /etc/sudoers
      state: present
      regexp: '^%company'
      line: '%company ALL=(ALL) NOPASSWD: ALL'
      validate: 'visudo -cf %s'
  - name: 为company用户设置authorized_key
    authorized_key: user=company key="{{item}}"
    with_file:
      - /home/company/.ssh/id_rsa.pub

完整playbook如上。