部署Ansible

部署Ansible

定义清单

清单定义Ansible将要管理的一批主机。这些主机也可以分配到组中，以进行集中管理。组可以包含子组，主机也可以是多个组的成员。清单还可以设置应用到它所定义的主机和组的变量。

可以通过两种方式定义主机清单。静态主机清单可以通过文本文件定义。动态主机清单可以根据需要使用外部信息提供程序通过脚本或其他程序来生成。

使用静态清单指定受管主机

静态清单文件是指定Ansible目标受管主机的文本文件。可以使用多种不同的格式编写此文件，包括INI样式或YAML。

在最简单的形式中。INI样式的静态清单文件是受管主机的主机名或IP地址的列表，每行一个：

yqh1
yqh2
192.168.100.1
192.168.100.2

但通常而言，可以将受管主机组织为主机组。通过主机组，可以更加有效的对一系列系统运行Ansible。这时，每一部分的开头为以中括号括起来的主机组名称。其后为该组中每一受管主机的主机名或IP地址，每行一个。

[webservers]
yqh1
yqh2
192.168.100.1
192.168.100.2

//[001:006]表示001、002、003、004、005、006
www[001:006].example.com

验证清单

若有疑问，可使用 ansible 命令验证计算机是否存在于清单中：

[root@yqh1 ~]# ansible all --list-hosts
  hosts (2):
    yqh1
    yqh2
    
[root@yqh1 ~]# ansible yqh3 --list-hosts
[WARNING]: Could not match supplied host pattern, ignoring: yqh3
[WARNING]: No hosts matched, nothing to do
  hosts (0):

运行以下命令来列出指定组中的所有主机：

[root@localhost ~]# ansible webservers --list-hosts
  hosts (1):
    yqh2

如果清单中含有名称相同的主机和主机组，ansible 命令将显示警告并以主机作为其目标。主机组则被忽略。

应对这种情况的方法有多种，其中最简单的是确保主机组不使用与清单中主机相同的名称。

覆盖清单的位置

/etc/ansible/hosts文件被视为系统的默认静态清单文件。不过，通常的做法是不使用该文件，而是在Ansible配置文件中为清单文件定义一个不同的位置。

构建Ansible清单

使用以下命令列出默认清单文件中的所有受管主机：

ansible all --list-hosts

使用以下命令列出不属于任何组的受管主机：

ansible ungrouped --list-hosts

使用以下命令列出属于某组的受管主机：

ansible webservers --list-hosts

自定义清单文件

在/etc/ansible/目录中，创建一个名为inventory的自定义静态清单文件

主机IP	用途	运行环境
192.168.100.1	数据库服务器	测试
192.168.100.2	web服务器	生产

//主机名映射
[root@yqh1 ~]# vim /etc/hosts
127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
::1         localhost localhost.localdomain localhost6 localhost6.localdomain6
192.168.100.1 yqh1
192.168.100.2 yqh2

//编写清单
[root@yqh1 ~]# vim /etc/ansible/inventory
yqh1						//后面可以加上ansible_user="用户名" ansible_password="密码"
[webservers]					//但是别人也看得到用户密码，不安全，所以我们这里使用免密登录
yqh2

//更改配置文件
[root@yqh1 ~]# vim /etc/ansible/ansible.cfg
inventory      = /etc/ansible/inventory			//取消注释并把路径改成inventory

设置免密登录

//使用ssh-keygen生成私钥和公钥
[root@yqh1 ~]# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 		        //直接回车
Created directory '/root/.ssh'.
Enter passphrase (empty for no passphrase): 					//直接回车
Enter same passphrase again: 							//直接回车
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:	
SHA256:drC9h31EvHyXkWpz57z2/LMLiGGFI/4c0kPLA/S5RUw root@yqh1
The key's randomart image is:
+---[RSA 3072]----+
|       .  oE     |
|      . . +. .  .|
|       o.* o  oo |
|      . *+*  o..o|
|       oS@o  ++o+|
|       .=.*+o.o+o|
|         +o.o.. o|
|           . ..+.|
|              .+X|
+----[SHA256]-----+

//给yqh2设置免密登录
[root@yqh1 ~]# ssh-copy-id root@192.168.100.2
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
The authenticity of host '192.168.100.2 (192.168.100.2)' can't be established.
ECDSA key fingerprint is SHA256:yvB25r1iyD1DrH7KQlo2thy8nREkrS7Qddd1KQ5ucsQ.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes	//填yes
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@192.168.100.2's password: 				//输入用户密码

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'root@192.168.100.2'"
and check to make sure that only the key(s) you wanted were added.

//测试是否互通
[root@yqh1 ~]# ansible yqh2 -m ping
The authenticity of host 'yqh2 (192.168.100.2)' can't be established.
ECDSA key fingerprint is SHA256:yvB25r1iyD1DrH7KQlo2thy8nREkrS7Qddd1KQ5ucsQ.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes	//填yes
yqh2 | SUCCESS => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/libexec/platform-python"
    },
    "changed": false,
    "ping": "pong"				//"pong"表示ping通
}
[root@yqh1 ~]# ssh root@yqh2
Last login: Tue Jan  5 19:34:37 2021 from 192.168.100.1
[root@yqh2 ~]# 

执行以下命令列出所有受管主机：

ansible all -i /etc/ansible/inventory --list-hosts

执行以下命令列出webservers组中的所有受管主机：

ansible webservers -i /etc/ansible/inventory --list-hosts

管理Ansible配置文件

可以通过修改 Ansible 配置文件中的设置来自定义 Ansible安装的行为。Ansible从控制节点上多个可能的位置之一选择其配置文件。

使用/etc/ansible/ansible.cfg
ansible软件包提供一个基本的配置文件，它位于/etc/ansible/ansible.cfg。如果找不到其他配置文件，则使用此文件。

使用~/.ansible.cfg
Ansible在用户的家目录中查找.ansible.cfg文件。如果存在此配置文件并且当前工作目录中也没有ansible.cfg文件，则使用此配置取代/etc/ansible/ansible.cfg。

使用./ansible.cfg
如果执行ansible命令的目录中存在ansible.cfg文件，则使用它，而不使用全局文件或用户的个人文件。这样，管理员可以创建一种目录结构，将不同的环境或项目存储在单独的目录中，并且每个目录包含为独特的一组设置而定制的配置文件。

推荐的做法是在需要运行Ansible命令的目录中创建ansible.cfg文件。此目录中也将包含任何供Ansible项目使用的文件，如清单和playbook。这是用于Ansible配置文件的最常用位置。实践中不常使用~/.ansible.cfg或/etc/ansible/ansible.cfg文件

配置文件优先级

ANSIBLE_CONFIG环境变量指定的任何文件将覆盖所有其他配置文件。如果没有设置该变量，则接下来检查运行ansible命令的目录中是否有ansible.cfg文件。如果不存在该文件，则检查用户的家目录是否有.ansible.cfg文件。只有在找不到其他配置文件时，才使用全局/etc/ansible/ansible.cfg文件。如果/etc/ansible/ansible.cfg配置文件不存在，Ansible包含它使用的默认值。

由于Ansible配置文件可以放入的位置有多种，因此Ansible当前使用哪一个配置文件可能会令人困惑。我们可以运行以下命令来清楚地确认所安装的Ansible版本以及正在使用的配置文件。

[root@yqh1 ~]# ansible --version
ansible 2.9.16
  config file = /etc/ansible/ansible.cfg
  								//因为在家目录没找到ansible.cfg文件，所以默认用的是全局文件
  configured module search path = ['/root/.ansible/plugins/modules', '/usr/share/ansible/plugins/modules']
  ansible python module location = /usr/lib/python3.6/site-packages/ansible
  executable location = /usr/bin/ansible
  python version = 3.6.8 (default, Dec  5 2019, 15:45:45) [GCC 8.3.1 20191121 (Red Hat 8.3.1-5)]


[root@yqh1 ~]# mkdir web
[root@yqh1 ~]# vim /root/web/inventory
yqh2
[root@yqh1 ~]# cp /etc/ansible/ansible.cfg /root/web/
[root@yqh1 ~]# vim /root/web/ansible.cfg 
inventory      = inventory		//意思是改成本地目录的inventory文件
[root@yqh1 ~]# cd web/
[root@yqh1 web]# ansible yqh2 -m ping
yqh2 | SUCCESS => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/libexec/platform-python"
    },
    "changed": false,
    "ping": "pong"
}

[root@yqh1 web]# ansible --version
ansible 2.9.16
  config file = /root/web/ansible.cfg	//在web目录下时，使用的时本地的配置文件
  configured module search path = ['/root/.ansible/plugins/modules', '/usr/share/ansible/plugins/modules']
  ansible python module location = /usr/lib/python3.6/site-packages/ansible
  executable location = /usr/bin/ansible
  python version = 3.6.8 (default, Dec  5 2019, 15:45:45) [GCC 8.3.1 20191121 (Red Hat 8.3.1-5)]

//也可以在家目录下，用-i指定配置文件
[root@yqh1 ~]# ansible yqh2 -i /root/web/inventory -m ping
yqh2 | SUCCESS => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/libexec/platform-python"
    },
    "changed": false,
    "ping": "pong"
}

Ansible仅使用具有最高优先级的配置文件中的设置。即使存在优先级较低的其他配置文件，其设置也会被忽略，不会与选定配置文件中的设置结合。因此，如果你选择自行创建配置文件来取代全局/etc/ansible/ansible.cfg配置文件，就需要将该文件中所有需要的设置复制到自己的用户级配置文件中。用户组配置文件中未定义的设置将保持设为内置默认值，即使已在全局配置文件中设为某个其他值也是如此。

管理配置文件中的设置

Ansible配置文件由几个部分组成，每一部分含有以键值对形式定义的设置。部分的标题以中括号括起来。对于基本操作，请使用以下两部分：

• [defaults]部分设置Ansible操作的默认值
• [privilege_escalation]配置Ansible如何在受管主机上执行特权升级

例如，下面是典型的ansible.cfg文件：

[defaults]
inventory = ./inventory
remote_user = user
ask_pass = false

[privilege_escalation]
become = true
become_method = sudo
become_user = root
become_ask_pass = false

下表说明了此文件中的指令：

Ansible配置

指令	描述
inventory	指定清单文件的路径。
remote_user	要在受管主机上登录的用户名。如果未指定则使用当前用户名
ask_pass	是否提示输入SSH密码。如果使用SSH公钥身份验证则可以是false
become	连接后是否自动在受管主机上切换用户（通常切换为root） 这也可以通过play来指定。
become_method	如何切换用户（通常为sudo，这也是默认设置，但可选择su）
become_user	要在受管主机上切换到的用户（通常是root，这也是默认值）
become_ask_pass	是否需要为become_method提示输入密码。默认为false。

配置连接

Ansible需要知道如何与其受管主机通信。更改配置文件的一个最常见原因是为了控制Ansible使用什么方法和用户来管理受管主机。需要的一些信息包括：

• 列出受管主机和主机组的清单的位置
• 要使用哪一种连接协议来与受管主机通信（默认为SSH），以及是否需要非标准网络端口来连接服务器
• 要在受管主机上使用哪一远程用户；这可以是root用户或者某一非特权用户
• 如果远程用户为非特权用户，Ansible需要知道它是否应尝试将特权升级为root以及如何进行升级（例如，通过sudo）
• 是否提示输入SSH密码或sudo密码以进行登录或获取特权

配置文件注释

Ansible配置文件允许使用两种注释字符：井号或分号。

位于行开头的#号会注释掉整行。它不能和指令位于同一行中。

分号字符可以注释掉所在行中其右侧的所有内容。它可以和指令位于同一行中，只要该指令在其左侧。

运行临时命令

使用临时命令可以快速执行单个Ansible任务，不需要将它保存下来供以后再次运行。它们是简单的在线操作，无需编写playbook即可运行。

临时命令对快速测试和更改很有用。例如，可以使用临时命令确保一组服务器上的/etc/hosts文件中存在某一特定的行。可以使用另一个临时命令在许多不同的计算机上高效的重启服务，或者确保特定的软件包为最新版本。

临时命令对于通过Ansible快速执行简单的任务非常有用。它们确实也存在局限，而且总体而言，要使用Ansible Playbook来充分发挥Ansible的作用。但在许多情形中，临时命令正是快速执行简单任务所需要的工具。

运行临时命令

Ansible运行临时命令的语法如下：

ansible host-pattern -m module [-a 'module arguments'] [-i inventory]

host-pattern参数用于指定在其上运行临时命令的受管主机。它可以是清单中的特定受管主机或主机组。也可以用后面的-i选项指定特定的清单而不使用默认清单。

-m选项将Ansible应在目标主机上运行的module名称作为参数。模块是为了实施任务而执行的小程序。一些模块不需要额外的信息，但其他模块需要使用额外的参数来指定其操作详情。-a选项以带引号字符串形式取这些参数的列表。

一种最简单的临时命令使用ping模块。此模块不执行ICMP ping，而是检查能否在受管主机上运行基于Python的模块。例如，以下临时命令确定清单中的所有受管主机能否运行标准的模块：

[root@localhost ~]# ansible all -m ping
yqh1 | SUCCESS => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/libexec/platform-python"
    },
    "changed": false,
    "ping": "pong"
}
......

使用临时命令通过模块来执行任务

模块是临时命令用于完成任务的工具。Ansible提供了数百个能够完成不同任务的模块。通常我们可以查找一个经过测试的专用模块，作为标准安装的一部分来完成所需的任务。

ansible-doc -l命令可以列出系统上安装的所有模块。可以使用ansible-doc来按照名称查看特定模块的帮助文档，再查找关于模块将取什么参数作为选项的信息。例如以下命令显示ping模块的帮助文档，在帮助文档里面输入q命令表示退出：

[root@yqh1 ~]# ansible-doc ping
> PING    (/usr/lib/python3.6/site-packages/ansible/modules/system/ping.py)

        A trivial test module, this module always returns `pong' on
        successful contact. It does not make sense in playbooks, but it is
        useful from `/usr/bin/ansible' to verify the ability to login and
        that a usable Python is configured. This is NOT ICMP ping, this is
        just a trivial test module that requires Python on the remote-node.
        For Windows targets, use the [win_ping] module instead. For Network
        targets, use the [net_ping] module instead.

  * This module is maintained by The Ansible Core Team
OPTIONS (= is mandatory):

- data
        Data to return for the `ping' return value.
        If this parameter is set to `crash', the module will cause an
        exception.
        [Default: pong]
        type: str


SEE ALSO:
      * Module net_ping
           The official documentation on the net_ping module.
           https://docs.ansible.com/ansible/2.9/modules/net_ping_modu
        le.html
      * Module win_ping
:

更多的模块信息请访问："Ansible帮助文档"

在受管主机上运行任意命令

command模块允许管理员在受管主机的命令行中运行任意命令。要运行的命令通过-a选项指定为该模块的参数。例如，以下命令将对webservers组的受管主机运行hostname命令：

[root@yqh1 ~]# ansible webservers -m command -a 'hostname'
yqh2 | CHANGED | rc=0 >>
yqh2

这条命令为每个受管主机返回两行输出。第一行是状态报告，显示对其运行临时操作的受管主机名称及操作的结果。第二行是使用Ansible command模块远程执行的命令的输出。

若要改善临时命令输出的可读性和解析，管理员可能会发现使对受管主机执行的每一项操作具有单行输出十分有用。使用-o选项以单行格式显示Ansible临时命令的输出。

[root@yqh1 ~]# ansible webservers -m command -a 'hostname' -o
yqh2 | CHANGED | rc=0 | (stdout) yqh2

command模块允许管理员对受管主机快速执行远程命令。这些命令不是由受管主机上的shell加以处理。因此，它们无法访问shell环境变量，也不能执行重定向和管道等shell操作。

在命令需要shell处理的情形中，管理员可以使用shell模块。与command模块类似，可以在临时命令中将要执行的命令作为参数传递给该模块。Ansible随后对受管主机远程执行该命令。与command模块不同的是，这些命令将通过受管主机上的shell进行处理。因此，可以访问shell环境变量，也可以使用重定向和管道等操作。

以下示例演示了command与shell的区别。如果尝试使用这两个模块执行内建的Bash命令set，只有使用shell模块才会成功：

//command
[root@yqh1 ~]# ansible yqh2 -m command -a 'set'
yqh2 | FAILED | rc=2 >>
[Errno 2] No such file or directory: b'set': b'set'

//shell
[root@yqh1 ~]# ansible yqh2 -m shell -a 'set'
yqh2 | CHANGED | rc=0 >>
BASH=/bin/sh
BASHOPTS=cmdhist:complete_fullquote:extquote:force_fignore:hostcomplete:interactive_comments:progcomp:promptvars:sourcepath
BASH_ALIASES=()
BASH_ARGC=()
BASH_ARGV=()
BASH_CMDS=()
BASH_EXECUTION_STRING=set
BASH_LINENO=()
BASH_SOURCE=()
......

command和shell模块都要求受管主机上安装正常工作的Python。第三个模块是raw，它可以绕过模块子系统，直接使用远程shell运行命令。在管理无法安装Python的系统（如网络路由器）时，可以利用这个模块。它也可以用于将Python安装到主机上。

在大多数情况下，建议避免使用command、shell和raw这三个“运行命令”模块。

其他模块大部分都是幂等的，可以自动进行更改跟踪。它们可以测试系统的状态，在这些系统已处于正确状态时不执行任何操作。相反，以幂等方式使用“运行命令”模块要复杂得多。依靠它们，你更难以确信再次运行临时命令或playbook不会造成意外的失败。当shell或command模块运行时，通常会基于它是否认为影响了计算机状态而报告CHANGED状态。

有时候，“运行命令”模块是有用的工具，也是解决问题的好办法。如果确实需要使用它们，可能最好先尝试用command模块，只有在需要shell或raw模块的特殊功能时才利用它们。

配置临时命令的连接

受管主机连接和特权升级的指令可以在Ansible配置文件中配置，也可以使用临时命令中的选项来定义。使用临时命令中的选项定义时，它们将优先于Ansible配置文件中配置的指令。下表显示了与各项配置文件指令类同的命令行选项。

Ansible命令行选项

配置文件指令	命令行选项
inventory	-i
remote_user	-u
become	—become、-b
become_method	--become-method
become_user	--become-user
become_ask_pass	--ask-become-pass、-K

在使用命令行选项配置这些指令前，可以通过查询ansible --help的输出来确定其当前定义的值。

[root@yqh1 ~]# ansible --help

举例：

将webservers组的/root/anaconda-ks.cfg软链接到/opt/abc，要求所有者和所有组都是yqh

[root@yqh1 ~]# ansible webservers -m file -a 'src=/root/anaconda-ks.cfg dest=/opt/abc owner=yqh group=yqh state=link'
yqh2 | CHANGED => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/libexec/platform-python"
    },
    "changed": true,
    "dest": "/opt/abc",
    "gid": 0,
    "group": "root",
    "mode": "0777",
    "owner": "root",
    "secontext": "unconfined_u:object_r:usr_t:s0",
    "size": 21,
    "src": "/root/anaconda-ks.cfg",
    "state": "link",
    "uid": 0
}

验证

[root@yqh2 ~]# ll /opt/
total 0
lrwxrwxrwx. 1 root root 21 Jan  5 21:58 abc -> /root/anaconda-ks.cfg
[root@yqh2 ~]# ll
total 4
-rw-------. 1 yqh yqh 1184 Dec 30 15:20 anaconda-ks.cfg