Ansible基础和常用模块（一）

1. Ansible 概述

ansible课程大纲

Playbook  3   install   configure  service
变量
判断语句
循环语句
异常处理
Include包含
tag标记：在剧本中可能会出现三个任务install 、configure、service，可以用tag指定执行某一个，测试用的挺多
handlers触发器：安装一个软件，配置一个服务都要重启，如果配置文件发生改变，就会触发重启操作。
jinja模板
role角色：大型部署的时候用到的，有明确的目录规划，有同一管理的目录思想，用一种项目的方式管理起来（不像playbook的小文件）
galaxy：这是个网站， 被人写好的角色，用其他人的，改改就能用
ansible加密模块
tower图形界面（不讲）

jumpserver的底层就是ansible

ansible定义：

Ansible是一个自动化统一配置管理工具，自动化主要体现在Ansible集成了丰富模块以及功能组件，可以通过一个命令完成一系列的操作，进而能减少重复性的工作和维护成本，可以提高工作效率。

Ansible功能：
（1）批量执行远程命令，可以对N多台主机同时进行命令的执行
（2）批量配置软件服务，可以进行自动化的方式配置和管理服务
（3）实现软件开发功能，jumpserver底层使用ansible来实现的自动化管理
（4）编排高级的IT任务，Ansible的Playbook是一门变成语言，可以用来秒回一套IT架构

在Ubuntu上安装apache服务名字叫apache2
在CentOS上安装apache服务名字叫httpd

在CentOS6上启动服务器使用命令：/etc/init.d/nginx start
在CentOS7上启动服务器使用命令：systemctl start nginx

Ansible的架构

（1）剧本playbook，ansible的配置文件,将多个任务定义在剧本中，由ansible自动执行

（2）主机清单inventor定义ansible需要操作主机的范围

（3）连接插件connection plugins用于连接主机 用来连接被管理端

（4）核心模块core modules连接主机实现操作， 它依赖于具体的模块来做具体的事情

（5）自定义模块custom modules根据自己的需求编写具体的模块

Ansible的执行流程：

（1）Ansible读取playbook剧本，剧本中会记录对哪些主机执行哪些任务。

（2）首先Ansible通过主机清单找到要执行的主机，然后调用具体的模块。

（3）其次Ansible会通过连接插件连接对应的主机并推送对应的任务列表。

（4）最后被管理的主机会将Ansible发送过来的任务解析为本地Shell命令执行。

图解ansible的执行过程：

解释上图：

通过ansible对那些主机（Host inventory）执行什么操作（play Books）
剧本里面调用的就是模块，执行的什么操作，这些操作要经过连接协议发送到对应的到被控端

先通过inventory文件进行逻辑上的分组，分完组对不同的主机做不同的操作
做什么操作–>由Ad-Hok 、Playbook YAML组件来完成，都是通过模块来
执行的，模块是Python开发的。针对哪台主机做什么事情，推到对方的主机上执行（会去解析对应的python模块，然后在本地运行相应的指令完成控制端所完成的状态），
需要传输协议

2. Ansible 安装配置

（1）安装epel源（提供最新的ansible）

[root@m01 ~] wget -O /etc/yum.repos.d/epel.repo http://mirrors.aliyun.com/repo/epel-7.repo

（2）安装Ansible

安装Ansible

yum install ansible -y

Ansible的命令

--version   #ansible版本信息
-v          #显示详细信息
-i          #主机清单文件路径，默认是在/etc/ansible/hosts
-m          #使用的模块名称，默认使用command模块
-a          #使用的模块参数，模块的具体动作
-k          #提示输入ssh密码，而不使用基于ssh的密钥认证
-C          #模拟执行测试，但不会真的执行
-T          #执行命令的超时

不确定的话先模拟执行（-C），有些时候做模拟执行的时候会失败，做真正执行的时候是成功的 因为在彩排的时候，如果你中间的有创建目录的话，后面有可能会用到这个目录，所以
彩排会失败

查看ansible的版本

[root@m01 ~]# ansible --version

（3）Ansible配置文件读取顺序

Ansible的配置文件，配置文件可以随意放，但有查找顺序

$ANSIBLE_CONFIG # 系统的变量，没有给这个变量设置，这个变量是空你的
ansible.cfg					#当前目录下面查找，如果剧本在/tmp下，则去tmp目录找
.ansible.cfg 				#当前用户的家目录下查找，比如/home/oldboy/.ansible.cfg
/etc/ansible/ansible.cfg

每一个项目配一个配置文件最好，可移植性更高

ansible的配置文件

[root@m01 ~]# cat /etc/ansible/ansible.cfg 
#inventory      = /etc/ansible/hosts      #主机列表配置文件，如果自己写的清单文件，则执行模块，或者剧本的时候，要用-i指定清单文件的所在位置
#library        = /usr/share/my_modules/  #库文件存放目录
#remote_tmp     = ~/.ansible/tmp          #临时py文件存放在远程主机目录
#local_tmp      = ~/.ansible/tmp          #本机的临时执行目录
#forks          = 5                       #默认并发数
#sudo_user      = root                    #默认sudo用户
#ask_sudo_pass = True                     #每次执行是否询问sudo的ssh密码
#ask_pass      = True                     #每次执行是否询问ssh密码
#remote_port    = 22                      #远程主机端口
host_key_checking = False                 #跳过检查主机指纹
log_path = /var/log/ansible.log           #ansible日志

#普通用户提权操作
[privilege_escalation]
#become=True
#become_method=sudo
#become_user=root
#become_ask_pass=False 

小提示：  
remote_tmp = ~/.ansible/tmp
remote_tmp = ~/.ansible/tmp
把ansible执行的模块方法放到哪个目录，推到对端的哪个目录  

forks = 5
fork并发执行，并发执行多少个   

sudo_user = root
如果用普通用户执行ansible的话，需要切sudo的（看公司用什么用户，并且提权的时候不需要密码）  

ansible_ssh_port=22  这个是个内置变量
基于秘钥的连接才是需要的

3. Ansible Inventory 清单

/etc/ansible/hosts是ansible默认主机资产清单文件用于定义被管理主机的认证信息， 例如ssh登录用户名、密码以及key相关信息。Inventory文件中填写需要被管理的主机与主机组信息。还可以自定义Inventory主机清单的位置，使用-i指定文件位置即可。

场景一：基于密码连接（这个不用，了解即可）

[root@m01 ~]# cat /etc/ansible/hosts

#方式一、IP+端口+用户+密码
[webs]
10.0.0.7 ansible_ssh_port=22 ansible_ssh_user=root ansible_ssh_pass='1'
10.0.0.8 ansible_ssh_port=22 ansible_ssh_user=root ansible_ssh_pass='1'


#方式二、主机名+密码
[webs]
web0[1:2] ansible_ssh_pass='123456'

#方式三、主机+端口+密码
[webs]
web0[1:2]
[webs:vars]
ansible_ssh_pass='123456'

注意：如果控制端和被控端第一次通讯，需要先添加指纹信息，那如果机器特别多的情况怎么办？

场景二：基于密钥连接，需要先创建公钥和私钥，并下发公钥至被控端（常用）

#创建秘钥对
[root@m01 ~]# ssh-keygen

#推送公钥
[root@m01 ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub [email protected]
[root@m01 ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub [email protected]

[root@m01 ~]# cat hosts 
#方式一、主机+端口+密钥
[webservers]
172.16.1.7
172.16.1.8

[root@m01 ~]# ansible webservers -m ping -i ./hosts 
172.16.1.8 | SUCCESS => {
    "changed": false, 
    "ping": "pong"
}
172.16.1.7 | SUCCESS => {
    "changed": false, 
    "ping": "pong"
}

-----------------------------------------------------------
[root@m01 ~]# cat hosts 
#方式二、别名+主机+端口+密钥
[webservers]
web01 ansible_ssh_host=172.16.1.7 ansible_ssh_port=22
web02 ansible_ssh_host=172.16.1.8


[root@m01 ~]# ansible webservers -m ping -i ./hosts 
web02 | SUCCESS => {
    "changed": false, 
    "ping": "pong"
}
web01 | SUCCESS => {
    "changed": false, 
    "ping": "pong"
}

场景三：主机组使用方式

#1.定义两个组
[lbservers]
172.16.1.5
172.16.1.6

[webservers]
172.16.1.7
172.16.1.8

#2.servers组包括两个子组[lbservers,webserver]
[servers:children]
lbservers
webserver

#查看多组
[root@m01 ~]# ansible all -m ping -i ./hosts  --list-host
  hosts (4):
    db01
    db02
    web01
    web02
[root@m01 ~]# ansible servers -m ping -i ./hosts  --list-host
  hosts (4):
    db01
    db02
    web01
    web02

4. Ansible ad-hoc

ad-hoc简而言之就是“临时命令”，执行完即结束，并不会保存

ad-hoc模式的命令使用：

举个例子：

#批量查看磁盘信息
ansible web_group -m command -a 'df -h' -i ./hosts  

#批量查看内存信息 
 ansible web_group -m command -a 'free -m' -i ./hosts

ad-hoc结果返回颜色

绿色: 代表被管理端主机没有被修改
黄色: 代表被管理端主机发现变更
红色: 代表出现了故障，注意查看提示

ad-hoc常用模块

command             # 执行shell命令(不支持管道等特殊字符)
shell               # 执行shell命令
scripts             # 执行shell脚本
yum_repository      # 配置yum仓库
yum                 # 安装软件
copy                # 变更配置文件
file                # 建立目录或文件
service             # 启动与停止服务
mount               # 挂载设备
cron                # 定时任务
get_url             #下载软件
firewalld           #防火墙
selinux             #selinux

command             # 执行shell命令(不支持管道等特殊字符)
shell               # 执行shell命令
scripts             # 执行shell脚本
yum_repository      # 配置yum仓库
联网下载		get_url
安装			yum
配置			copy
启动			service、systemd
创建用户与组	user、group
授权			file
定时任务		crond
挂载			mount
firewalld		firewall
selinux			selinux

Ansible-doc帮助手册

[root@m01 ~]# ansible-doc -l        # 查看所有模块说明
[root@m01 ~]# ansible-doc copy      # 查看指定模块方法
[root@m01 ~]# ansible-doc -s copy   # 查看指定模块参数

5. Ansible 功能模块

5.1 Ansible 命令模块

5.1.1 command 功能模块

（1）command默认执行bash命令模块，模块不支持重定向或管道

[root@m01 ~]# ansible oldboy  -a "hostname"

5.1.2 shell 功能模块

（2）shell模块，如果需要一些管道操作，则使用shell

[root@m01 ~]# ansible oldboy -m shell -a "ifconfig|grep eth0" -f 50

5.1.3 script 功能模块

（1）写个脚本

[root@m01 ~]# cat yum.sh
#!/usr/bin/bash
yum install -y iftop

（2）在本地运行模块，等同于在远程执行，不需要将脚本文件进行推送目标主机执行

[root@m01 ~]# ansible oldboy -m script -a "/server/scripts/yum.sh"

5.2 Ansible 软件管理模块

5.2.1 yum 功能模块

[root@m01 ~]# ansible oldboy -m yum -a "name=httpd state=present"

ansible web -m yum -a 'name=httpd state=present'
ansible web -m yum -a 'name=httpd state=absent'
ansible web -m yum -a 'name=httpd download_only=true download_dir=/root'

name        						
	httpd							#指定要安装的软件包名称
	file://							#指定从本地哪个目录安装rpm
	http://							#指定从哪个网站安装rpm包
state       						#指定使用yum的方法
				present   			#安装软件包
				absent      		#移除软件包
				latest				#安装最新软件包
exclude=kernel*,foo*                #排除某些包
list=ansible						#列出当前仓库可用的软件包
disablerepo="epel,ol7_latest"		#安装软件时，不从哪些仓库获取
download_only=true					#仅下载软件包，不安装

5.2.2 yum_repository 功能模块

#添加yum仓库
[root@m01 ~]# ansible web_group -m yum_repository -a "name=oldboy_epel description=EPEL baseurl=https://download.fedoraproject.org/pub/epel/$releasever/$basearch/" -i ./hosts

#仓库名和配置文件名不同
[root@m01 ~]# ansible web_group -m yum_repository -a 'name=oldboy_epel description=EPEL file=test_oldboy baseurl=https://download.fedoraproject.org/pub/base/$releasever/$basearch/ gpgcheck=no' -i ./hosts

#添加mirrorlist
[root@m01 ~]# ansible web_group -m yum_repository -a 'name=oldboy_epel description=EPEL file=test_oldboy baseurl=https://download.fedoraproject.org/pub/base/$releasever/$basearch/ gpgcheck=no mirrorlist=http://mirrorlist.repoforge.org/el7/mirrors-rpmforge enabled=no' -i ./hosts

#删除yum仓库及文件
[root@m01 ~]# ansible web_group -m yum_repository -a 'name=oldboy_epel file=test_oldboy state=absent' -i ./hosts

#开起gpgcheck
[root@m01 ~]# ansible web_group -m yum_repository -a 'name=oldboy_epel description=EPEL file=test_oldboy baseurl=https://download.fedoraproject.org/pub/base/$releasever/$basearch/ gpgcheck=yes gpgkey=http://mirrors.aliyun.com/centos/RPM-GPG-KEY-CentOS-7' -i ./hosts

name        #指定仓库名，如果没有file则为仓库文件名
baseurl     #指定yum源
gpgcheck    #指定检查秘钥
    no
    yes

enabled     #是否启用仓库
    no
    yes

5.2.3 get_url 功能模块

（1）通过get_url下载文件或者软件

[root@m01 ~]# ansible webservers -m get_url -a "url=http,https  dest=/opt mode=0777" -i ./hosts

（2）下载一个文件前先进行md5校验，通过则下载，不通过则失败

ansible webservers -m get_url -a "url=http,https  dest=/opt mode=0777 checksum=md5:76eb3af80ffd" -i ./hosts

url			#文件在网络上的具体位置
dest		#下载到被控端的哪个目录下
checksum	#校验(md5  sha256)

5.3 Ansible 文件管理模块

5.3.1 copy 功能模块

（1）拷贝文件文件至被控节点

[root@m01 ~]# ansible oldboy -m copy -a "src=/etc/hosts dest=/tmp/test.txt"

（2）对远端已有文件进行备份，按照时间信息备份

[root@m01 ~]# ansible oldboy -m copy -a "src=/etc/hosts dest=/tmp/test.txt backup=yes"

（3）向被控端主机写入数据，并且会覆盖远端文件内原有数据信息

[root@m01 ~]# ansible oldboy -m copy -a "content='bgx' dest=/tmp/oldboy"

src             #推送数据的源文件信息
dest            #推送数据的目标路径
backup          #对推送传输过去的文件，进行备份
content         #直接批量在被管理端文件中添加内容
group           #将本地文件推送到远端，指定文件属组信息
owner           #将本地文件推送到远端，指定文件属主信息
mode            #将本地文件推送到远端，指定文件权限信息

5.3.2 file 功能模块

（1）直接修改被控端的权限

[root@m01 ~]# ansible web01 -m file -a "path=/opt mode=0400" -i ./hosts

（2）在被控端创建目录

ansible oldboy -m file -a "path=/tmp/oldboy state=directory"

（3）在被控端创建文件

[root@m01 ~]# ansible oldboy -m file -a "path=/tmp/tt state=touch mode=555 owner=root group=root"

（4）递归授权目录权限

[root@m01 ~]# ansible oldboy -m file -a "path=/data owner=bgx group=bgx recurse=yes"

path            #指定远程主机目录或文件
recurse         #递归授权
state           #状态
    directory   #在远端创建目录
    touch       #在远端创建文件
    link        #创建链接文件
    absent      #表示删除文件或目录
mode        #设置文件或目录权限
owner       #设置文件或目录属主
group       #设置文件或目录属组

5.4 Ansible 服务管理模块

5.4.1 systemd 功能模块

（1）启动crond服务，并加入开机自启

[root@m01 ~]# ansible webservers -m service -a "name=crond state=started enabled=yes"

（2）停止crond服务，并删除开机自启

ansible webservers -m service -a "name=crond state=stopped enabled=no"

（3）重启crond服务

[root@m01 ~]# ansible webservers -m service -a "name=crond state=restarted"

（4）重载crond服务

name        # 定义要启动服务的名称
state       # 指定服务状态
    started     #启动服务
    stopped     #停止服务
    restarted   #重启服务
    reloaded    #重载服务
enabled     #开机自启

5.4.2 service 功能模块

这个跟sytemd的用法是一样的

5.5 Ansible 用户管理模块

5.5.1 group 功能模块

[root@m01 ~]# ansible webservers -m group -a "name=oldgirl gid=888"

name            #指定创建的组名
gid             #指定组的gid
state
    absent      #移除远端主机的组
    present     #创建远端主机的组（默认）

5.5.2 user 功能模块

（1）创建用户指定uid和gid，不创建家目录也不允许登陆

[root@m01 ~]# ansible oldboy -m user -a "name=oldgirl uid=888 group=888 shell=/sbin/nologin create_home=false"

 [root@m01 ~]# ansible web -m user  -a 'name=www uid=666 group=www create_home=false shell=/sbin/nologin'

（2）删除用户

[root@m01 ~]# ansible webservers -m user -a "name=tmd state=absent" -i ./hosts 

（3）给新创建的用户生成ssh密钥对

[root@m01 ~]# ansible webservers -m user -a "name=oo uid=6677 group=adm generate_ssh_key=yes ssh_key_bits=2048 ssh_key_file=.ssh/id_rsa" -i ./hosts 

（4）将明文密码进行hash加密，然后进行用户创建

[root@m01 ~]# ansible localhost -m debug -a "msg={{ '123456' | password_hash('sha512', 'salt') }}"
localhost | SUCCESS => {
    "msg": "$6$salt$MktMKPZJ6t59GfxcJU20DwcwQzfMvOlHFVZiOVD71w.igcOo1R7vBYR65JquIQ/7siC7VRpmteKvZmfSkNc69."
}
[root@m01 ~]# ansible webservers -m user -a 'name=xlw password=$6$salt$MktMKPZJ6t59GfxcJU20DwcwQzfMvOlHFVZiOVD71w.igcOo1R7vBYR65JquIQ/7siC7VRpmteKvZmfSkNc69. create_home=yes shell=/bin/bash' -i ./hosts 

uid             #指定用户的uid
group           #指定用户组名称
groups          #指定附加组名称
password        #给用户添加密码（记得单引号）
shell           #指定用户登录shell
create_home     #是否创建家目录

5.6 Ansible 定时任务模块

5.6.1 cron 功能模块

正常使用crond服务（默认没写的时间都算*表示）

[root@m01 ~]# crontab -l
* * * * *  /bin/sh /server/scripts/yum.sh

（1）使用ansible添加一条定时任务

[root@m01 ~]# ansible webservers -m cron -a "minute=* hour=* day=* month=* weekday=* job='/bin/sh test.sh'"
[root@m01 ~]# ansible webservers -m cron -a "job='/bin/sh /server/scripts/test.sh'"

（2）设置定时任务注释信息，防止重复，name设定

[root@m01 ~]# ansible webservers -m cron -a "name='cron01' job='/bin/sh /server/scripts/test.sh'"

（3）删除相应定时任务

[root@m01 ~]# ansible webservers -m cron -a "name='ansible cron02' minute=0 hour=0 job='/bin/sh test.sh' state=absent"

（4）注释相应定时任务，使定时任务失效

[root@m01 scripts]# ansible oldboy -m cron -a "name='ansible cron01' minute=0 hour=0 job='/bin/sh test.sh' disabled=yes"

5.7 Ansible 磁盘挂载模块

5.7.1 mount功能模块

[root@m01 ~]# ansible web01 -m yum -a 'name=nfs-utils state=present' -i ./hosts
[root@m01 ~]# ansible web01 -m file -a 'path=/data state=directory' -i ./hosts
[root@m01 ~]# ansible web01 -m copy -a 'content="/data 172.16.1.0/24(rw,sync,no_all_squash)" dest=/etc/exports' -i ./hosts 
[root@m01 ~]# ansible web01 -m systemd -a "name=nfs state=started enabled=yes" -i ./hosts


[root@m01 ~]# ansible web02 -m mount -a "src=172.16.1.7:/data path=/data fstype=nfs opts=defaults state=present"
[root@m01 ~]# ansible web02 -m mount -a "src=172.16.1.7:/data path=/data fstype=nfs opts=defaults state=mounted"
[root@m01 ~]# ansible web02 -m mount -a "src=172.16.1.7:/data path=/data fstype=nfs opts=defaults state=unmounted"
[root@m01 ~]# ansible web02 -m mount -a "src=172.16.1.7:/data path=/data fstype=nfs opts=defaults state=absent"

present     # 开机挂载，仅将挂载配置写入/etc/fstab
mounted     # 挂载设备，并将配置写入/etc/fstab
unmounted   # 卸载设备，不会清除/etc/fstab写入的配置
absent      # 卸载设备，会清理/etc/fstab写入的配置

5.8 Ansible 防火墙模块

5.8.1 selinux 功能模块

[root@m01 ~]# ansible webservers -m selinux -a "state=disabled" -i ./hosts

5.8.2 firewalld 功能模块

[root@m01 ~]# ansible webservers -m systemd -a "name=firewalld state=started" -i ./hosts 
[root@m01 ~]# ansible webservers -m firewalld -a "service=http immediate=yes permanent=yes state=enabled" -i ./hosts 
[root@m01 ~]# ansible webservers -m firewalld -a "port=8080-8090/tcp immediate=yes permanent=yes state=enabled" -i ./hosts 

service				#指定开放或关闭的服务名称
port				#指定开放或关闭的端口
masquerade			#开启地址伪装
immediate			#临时生效
permanent			#是否添加永久生效
state				#开启或是关闭
   enable
   disabled
zone				#指定配置某个区域
rich_rule			#配置富规则
source				#指定来源IP

5.9 Ansible 主机信息模块

5.9.1 setup 功能模块

查看所有详细信息

[root@m01 ~]# ansible web01 -m setup

获取IP地址

 ansible web01 -m setup -a 'filter=ansible_default_ipv4'

获取主机名

[root@m01 ~]# ansible web01 -m setup -a 'filter=ansible_fqdn'

获取内存信息

[root@m01 ~]# ansible web01 -m setup -a 'filter=ansible_memory_mb'

获取磁盘信息

ansible web01 -m setup -a 'filter=ansible_devices'

5.10 Ansible 文件解压模块

5.10.1 unarchive 功能模块

# 控制端把自己的压缩包解压完后在传给被控端
    - name: Unarchive wordpress Package
      unarchive:
        src: wordpress-5.0.3-zh_CN.tar.gz
        dest: /var/www/html
        copy: yes

# 这种情况必须受控端有压缩包（控制端传压缩包给被控端也行），然后发送指定在受控端进行解压
    - name: Unarchive wordpress Package
      unarchive:
        src: wordpress-5.0.3-zh_CN.tar.gz
        dest: /var/www/html
        copy: no

5.11 mysql 模块模块

    - name: Removes all anonymous user accounts
      mysql_user:
        name: ''
        host_all: yes
        state: absent

    - name: Create database user
      mysql_user:
        login_user: root
        name: lzy
        password: lzy123.com
        priv: '*.*:ALL'
        state: present
        host: localhost

    - name: Create Database wordpress
      mysql_db:
        login_user: lzy
        login_password: lzy123.com
        login_host: localhost
        login_port: 3306
        name: wordpress
        state: present

6. 自我小总结

直接写的清单是静态的
动态是靠程序生成的，直接执行代码，获取交换机N多台服务器的信息，自动生成清单文件

command模块式一个默认模块  不用加-m 指定command就可以执行 -a，执行指定的命令

查看帮助时直接看EXANPLE示例即可

用命令执行的话，返回的结果就是黄颜色的



copy模块用的非常多，主要用于复制配置文件

file：创建目录并且授权

systemd和service是一样的，用哪一个都行

用户管理模块用的也多
=========================================================  

：set list 查看有没有tab键字符的
=========================

版本号是一个问题，版本号如果不做变量的话，如果使用调用的话，如果版本号发生了
改变，会及其的麻烦

ansible_doc -l | grep ansible 

register存的是执行之后的结果,然后再用debug模块进行输出

压缩模块  debug模块
在推送配置的时候，首先先采集被控端的变量，fasts变量

copy模块中不支持拷贝的文件中携带变量，templete支持，用法是一样的

（1）因为服务已经启动，所以ansible在执行的话，会认为已经启动过了，不用再次启动了.在配置文件中加一个#，在实验一下，只要配置文件改变，在执行一下剧本，看结果，就会重启，如果没有的话，就手动重启，也可以换成restart