RH358学习笔记--8（自动化执行 Web 服务器配置）

Ansible自动化执行 Web 服务器配置

自动化Web服务器配置
 确保在web服务器上安装了httpd或nginx包和任何其他需要的支持包。如果你的剧本可能会更新正在运行的系统上的软件，通知处理器重新启动web服务器软件。
 将每个虚拟主机的web内容部署到web服务器上。确保它具有正确的权限和SELinux上下文。
 确保您的web服务器的配置文件是正确的配置和安装。如果配置发生变化，请使用处理程序重新加载web服务器。
 确保您的TLS配置是正确的，并且服务器证书和匹配的私钥是安全配置和安装的。如果配置改变，使用一个处理程序来重新加载web服务器。
 使用Ansible service模块启用和启动服务。
 使用Ansible firewalld模块配置防火墙规则。

（1）安装Web服务软件包

使用yum Ansible模块安装web服务包httpd或nginx。

- name: Web server software is installed
  yum:
  name: httpd
  state: present

（2）部署Web内容

 可通过多种方式使用 Ansible 部署网站的内容
 可使用 copy 或 template 模块来部署单个文件和目录
 可使用 synchronize 模块将目录同步到 web 服务器。比如copy模块更高效且更具可扩展性
 可使用 git 模块克隆站点

- name: Make sure web site content is present
  git:
       repo: 'https://git.example.com/website/webcontent.git'
       dest: /srv/website
       version: production

（3）配置 DocumentRoot 目录的权限

- name: SELinux policy is correct for web site location
  sefcontext:
        target: '/srv/website(/.*)?'
        setype: httpd_sys_content_t
        state: present

当SELinux默认策略正确时，可以使用file模块setype设置为_default并递归运行，与 restorecon -R 等效的操作：

- name: Correct file permissions and SELinux context on web content
  file:
      path: /srv/website
      state: directory
      recurse: yes
      follow: no
      owner: root
      group: root
      mode: 'a=rX'
      setype: _default

（4）部署服务器证书和密钥

记得在TLS证书更改时通知处理程序重新启动web服务器，以便更改生效。对于Nginx，重新加载就足够了，但是Apache HTTP Server需要完全重启。

- name: Server and CA certificates are in place
  copy:
       src: "{{ item }}"
       dest: /etc/pki/tls/certs
   loop:
       - website.crt
       - example-ca.crt
   notify: restart server
- name: Server TLS private key is in place
  copy:
       src: website.key
       dest: /etc/pki/tls/private
       mode: '0600'
  notify: restart server

（5）部署配置文件

部署配置文件的最佳方法是使用jinj2模板。这很强大，因为可以通过使用具有不同变量值的相同模板为不同的虚拟主机部署多个文件。

- name: Deploy Apache virtual host configuration
  template:
         src: "website.conf.j2"
         dest: "/etc/httpd/conf.d/website.conf"
  notify: reload server

（6）配置防火墙规则

通过firewalld模块打开http和https服务的防火墙端口。

- name: Firewall ports are open
  firewalld:
        service: "{{ item }}"
        permanent: yes
        immediate: yes
        state: enabled
  loop:
       - https
       - http

（7）确保Web服务器正在运行

service模块用于启用和启动web服务。
- name: Web server is enabled and started
  service:
         name: httpd
         state: started
         enabled: yes

 

（8）完整的配置文件playbook

- name: Document root exists for web sites
# 通过遍历从group_vars加载的服务器，使用file模块创建每个根目录。
  file:
     path: "/srv/www/{{ item }}"
     state: directory
     owner: root
     mode: '0755'
   loop: "{{ web_hosts }}"
- name: Index test pages are correct
# 使用模板模块复制index.html.j2文件。
  template:
     src: "index.html.j2"
     dest: "/srv/www/{{ item }}/index.html"
  loop: "{{ web_hosts }}"
- name: SELinux policy is correct for web site location
# 使用sefcontext模块设置SELinux策略，用httpd_sys_content_t类型标记文档根目录，这样web服务器就可以读取这些文件。
   sefcontext:
       target: '/srv/www(/.*)?'
       setype: httpd_sys_content_t
       state: present
- name: Correct SELinux file context is on web content
# 使用file模块重新标记文件。当setype设置为_default时，将使用策略的默认上下文(前一个任务确保是正确的)。
   file:
      path: /srv/www
      state: directory
      recurse: yes
      follow: no
      setype: _default
- name: Virtual host TLS certs in place
# 使用copy模块将证书和私钥复制到受管理的主机。
  copy:
     src: "{{ item }}.crt"
     dest: "/etc/pki/tls/certs"
   loop: "{{ web_hosts }}"
- name: Virtual host TLS private keys in place
  copy:
     src: "{{ item }}.key"
     dest: "/etc/pki/tls/private"
     mode: '0600'
     owner: root
     group: root
  loop: "{{ web_hosts }}"
- name: example.com CA cert in place
  copy:
     src: "{{ cacert_file }}"
    dest: "/etc/pki/tls/certs/{{ cacert_file }}"

-----------------------部署服务器证书和密钥文件-—http的配置文件----------------------

 

 

-—---------------nginx的配置文件----------------------

 

 ------------http+nginx配置文件--------------------------------------------