从零开始搭建运维体系 - ansible
2018-12-17 14:27 轩脉刃 阅读(2440) 评论(1) 编辑 收藏 举报从零开始搭建运维体系 - ansible
基本配置好了局域网内的机器后,第一个遇到的问题就是如何批量操作这么多台机器,ansible就是这么一个自动化运维工具。
ansible是一个基于ssh的批量远程操作命令工具。它有分管理端和被管理端,管理端安装ansible,被管理端什么都不需要安装。这个是非常方便的。只要能远程登陆上就可以。
ansible有两种模式,ansible-hoc和ansible-playbook。简单来说,ansible-hoc就是可以在console上一次执行多个命令。ansible-playbook就是预先编写一个执行步骤,然后在不同机器上执行这个执行步骤。
配置好ssh的用户名密码
我选择使用root账号直接操作ssh的用户,这样我可以站在上帝视角做任何操作,当然这个也是一个双刃剑,也附带一定的危险性。
去每个机器上配置root密码:
passwd root
输入-123456
安装ansible的管理机
ansible的安装比较简单。我选用的是yum安装
安装完成之后,所有的配置文件都在
/etc/ansible/
下面。
ansible配置
修改ansible的默认host配置,在这个配置里面就可以配置上用户名和密码
[local]
localhost ansible_connection=local
[test]
192.168.34.3 ansible_connection=ssh ansible_user=root ansible_ssh_pass=123456
[all]
localhost ansible_connection=local
192.168.34.3 ansible_connection=ssh ansible_user=root ansible_ssh_pass=123456
192.168.34.4 ansible_connection=ssh ansible_user=root ansible_ssh_pass=123456
"/etc/ansible/hosts" 50L, 1261C
我配置了三个组,其中一个组叫local,它只有ansible的管理机local,直接使用ansible_connection=local就表示是操作的本机。
另外一个组叫做all,这个all包含了三台机器,34.2~4(local)这个机器是本地机器的IP。
还有一个组叫做test,就代表我发布之前先执行这台程序,算是灰度发布。
测试执行第一条命令
第一条命令长这样:
ansible all -m ping
这个就是ansible-hoc模式,其中all 表示ansible操作在all这个组,-m表示调用的是什么模块,ansible有很多模块,这个ping是最常用的模块之一。其他的常用模块使用可以参考ansible常用模块介绍
你有可能返回这个错误
192.168.34.3 | FAILED | rc=-1 >>
Using a SSH password instead of a key is not possible because Host Key checking is enabled and sshpass does not support this. Please add this host's fingerprint to your known_hosts file to manage this host.
这个就是说需要你把远程服务器加入到known_hosts中,当然你可以不需要加入,修改ansible配置文件/etc/ansible/ansible.cfg
修改这个配置
host_key_checking = False
就可以不需要known_hosts就行了
[root@localhost var]# ansible all -m ping
localhost | SUCCESS => {
"changed": false,
"ping": "pong"
}
192.168.34.3 | SUCCESS => {
"changed": false,
"ping": "pong"
}
192.168.34.4 | SUCCESS => {
"changed": false,
"ping": "pong"
}
使用ansible创建公司用户
我们希望创建一个公司用户,以后业务应用都用这个用户进行运行,而不是使用root。那么用ansible如何操作?
我们可以使用user模块,使用模块的好处是很容易写出幂等的命令。可以多次执行。如果你不知道user模块有哪些可以配置,就使用命令ansible-doc -s user
来查看,或者去官网查看
ansible test -m user -a 'name=company shell=/bin/bash home=/home/company state=present password=$6$mysecretsalt$RGyLyUuTb8ssDdlZDeLV0gn3khYBQkdIAuyRwAVr9WcH5FpUH6V7qBd4ZI59DXaAuL9Zmift0CTv8mCsQG3Ws.'
这里的password是怎么生成的呢?
可以使用这个命令:
ansible all -i localhost, -m debug -a "msg={{ 'company123' | password_hash('sha512', 'mysecretsalt') }}"
将输出的密码复制到用户里面
192.168.34.3 | CHANGED => {
"append": false,
"changed": true,
"comment": "",
"group": 1001,
"home": "/home/company",
"move_home": false,
"name": "company",
"password": "NOT_LOGGING_PASSWORD",
"shell": "/bin/bash",
"state": "present",
"uid": 1001
}
创建成功了。这里的state=present代表如果这个用户不存在就创建,如果这个用户存在就不创建。所以这个命令是幂等的。
然后我就可以对所有机器执行这个操作了。
[root@localhost var]# ansible all -m user -a 'name=company shell=/bin/bash home=/home/company state=present password=$6$mysecretsalt$RGyLyUuTb8ssDdlZDeLV0gn3khYBQkdIAuyRwAVr9WcH5FpUH6V7qBd4ZI59DXaAuL9Zmift0CTv8mCsQG3Ws.'
批量修改hostname
我希望修改每个机器的hostname, 根据它的ip(ansible定义给它的host)修改为xx-xx-xx-xx,把ip中的点换成-
这个时候就需要用到playbook了。其实playbook本质就是yml。你可以在yml中定义你这个脚本需要执行在哪个机器,执行哪些命令。
比如修改hostname的playbook如下:
- hosts: test
tasks:
- hostname : name={{ ansible_host.split('.') | join('-') }}
操作在test机器组,执行hostname的命令,其中的ansible_host是我ansible调用的host,先用.切割成数组,再用-拼接起来。
如果你还对这些变量和命令比较不熟悉,建议先使用debug模块在ansible-hoc上尝试一下:
[root@localhost ~]# ansible test -m debug -a "msg={{ansible_host.split('.') | join('-')}}"
192.168.34.3 | SUCCESS => {
"msg": "192-168-34-3"
}
好,执行这个playbook:
[root@localhost ~]# ansible-playbook /etc/ansible/playbooks/change_hostname.yml
PLAY [test] ******************************************************************************************************************************************
TASK [Gathering Facts] *******************************************************************************************************************************
ok: [192.168.34.3]
TASK [hostname] **************************************************************************************************************************************
changed: [192.168.34.3]
PLAY RECAP *******************************************************************************************************************************************
192.168.34.3 : ok=2 changed=1 unreachable=0 failed=0
登陆到机器上,或者直接使用shell模块看,成功了
[root@localhost ~]# ansible test -m shell -a 'hostname'
192.168.34.3 | CHANGED | rc=0 >>
192-168-34-3
对所有机器执行这个操作,修改/etc/ansible/playbooks/change_hostname.yml里面的hosts为all。
需要把这个company用户加入到sudoer列表中, 并且把我管理机上的company用户设置为授信用户
首先我管理机上company用户先创建公钥,切换到company用户上,命令ssh-keygen生成公钥和私钥,公钥在/home/company/.ssh/id_rsa.pub
授信就是把公钥放到需要授权的机器上的authroized_key中。
增加用户到sudoers呢就是在/etc/sudoers中增加一行用户信息,并且设置NO PASSWORD。
ansible中最爽的就是有模块的概念,这两个操作都有模块提供,一个是linefile模块,一个是authorized_key模块
- hosts: test
tasks:
- name: 确保存在company这个group
group: name=company state=present
- name: 允许company组的人可以无密码切换sudo
linefile:
dest: /etc/sudoers
state: present
regexp: '^%company'
line: '%company ALL=(ALL) NOPASSWD: ALL'
validate: 'visudo -cf %s'
- name: 为company用户设置authorized_key
authorized_key: user=company key="{{item}}"
with_file:
- /home/company/.ssh/id_rsa.pub
完整playbook如上。
实时了解作者更多技术文章,技术心得,请关注微信公众号“轩脉刃的刀光剑影”
本文基于署名-非商业性使用 3.0许可协议发布,欢迎转载,演绎,但是必须保留本文的署名叶剑峰(包含链接http://www.cnblogs.com/yjf512/),且不得用于商业目的。如您有任何疑问或者授权方面的协商,请与我联系。