ansible的安装和部署（一）

1.1 什么是 Ansible?

Ansible是一款自动化运维工具，基于Python开发，集合了众多运维工具（puppet、cfengine、chef、func、fabric）的优点，实现了批量系统配置、批量程序部署、批量运行命令等功能。

Ansible是基于模块工作的，本身没有批量部署的能力。真正具有批量部署的是Ansible所运行的模块，Ansible只是提供一种框架。主要包括：
(1) 连接插件connection plugins：负责和被监控端实现通信；
(2) host inventory：指定操作的主机，是一个配置文件里面定义监控的主机；
(3) 各种模块核心模块、command模块、自定义模块；
(4) 借助于插件完成记录日志邮件等功能；
(5) playbook：剧本执行多个任务时，非必需可以让节点一次性运行多个任务。

ansible架构图

ANSIBLE的优点

Ansible 围绕无代理架构构建。通常而言，Ansible 通过 OpenSSH 或 WinRM 连接它所管理的主机并且运行任务，方法通常是将称为 Ansible 模块的小程序推送至这些主机。这些程序用于将系统置于需要的特定状态。在 Ansible 运行完其任务后，推送的所有模块都会被删除。

Ansible 不需要批准使用任何特殊代理，然后再部署到受管主机上。由于没有代理，也不需要额外的自定义安全基础架构，

Ansible 具有多个重要的优点：

• 跨平台支持：Ansible 提供Linux、Windows、UNIX和网络设备的无代理支持，适用于物理、虚拟、云和容器环境。
• 人类可读的自动化：Ansible Playbook采用YAML文本文件编写，易于阅读，有助于确保所有人都能理解它们的用途。
• 完美描述应用：可以通过 Ansible Playbook进行每种更改，并描述和记录应用环境的每一个方面。
• 轻松管理版本控制：Ansible Playbook和项目是纯文本。它们可以视作源代码，放在现有版本控制系统中。
• 支持动态清单：可以从外部来源动态更新 Ansible 管理的计算机列表，随时获取所有受管服务器的当前正确列表，不受基础架构或位置的影响。
• 编排可与其他系统轻松集成：能够利用环境中现有的 HP SA、Puppet、Jenkins、红帽卫星和其他系统，并且集成到 Ansible 工作流中。

什么是控制节点

Ansible 易于安装。 Ansible 软件只需要安装到要运行它的一个（或多个）控制节点上。由 Ansible管理的主机不需要安装 Ansible。

对控制节点的要求：

• 控制节点应是Linux或UNIX系统。不支持将Windows用作控制节点，但Windows系统可以是受管主机。
• 控制节点需要安装Python3（版本3.5或以上）或Python2（版本2.7或以上）。

如果操作系统是红帽8.0，Ansible 2.9可以自动使用 platform-python 软件包，该软件包支持使用Python的系统实用程序。你不需要从 AppStream安装python37或python27软件包。

[root@zyy ~]# yum list installed platform-python
Installed Packages
platform-python.x86_64                      3.6.8-45.el8                       @anaconda

什么是受管主机

Ansible的一大优点是受管主机不需要安装特殊代理。Ansible控制节点使用标准的网络协议连接受管主机，从而确保系统处于指定的状态。

受管主机可能要满足一些要求，具体取决于控制节点连接它们的方式以及它们要运行的模块。

Linux和UNIX受管主机需要安装有Python2（版本2.6或以上）或Python3（版本3.5或以上），这样才能运行大部分的模块。

对于红帽8，可以启用并安装python36应用流（或python27应用流）

yum module install python36

如果受管主机上启用了SELinux，还需要确保安装python3-libselinux软件包，然后才能使用与任何复制、文件或模板功能相关的模块。所以在工作的时候，应当把SELinux功能关闭。

安装ansible

curl -o /etc/yum.repos.d/CentOS-Base.repo https://mirrors.aliyun.com/repo/Centos-8.repo
sed -i -e '/mirrors.cloud.aliyuncs.com/d' -e '/mirrors.aliyuncs.com/d' /etc/yum.repos.d/CentOS-Base.repo
//把本地源换成阿里的源

[root@zyy ~]# dnf list all | grep ansible
CentOS Configmanagement SIG - ansible-29         27 kB/s | 2.1 MB     01:18    
ansible.noarch                                         2.9.27-1.el8     

//过滤出他的安装包

yum -y install ansible
//最后yum安装就行了

查看安装的版

[root@zyy ~]# ansible --version
ansible 2.9.27
  config file = /etc/ansible/ansible.cfg
  configured module search path = ['/root/.ansible/plugins/modules', '/usr/share/ansible/plugins/modules']
  ansible python module location = /usr/lib/python3.6/site-packages/ansible
  executable location = /usr/bin/ansible
  python version = 3.6.8 (default, Jan 19 2022, 23:28:49) [GCC 8.5.0 20210514 (Red Hat 8.5.0-7)]

ansible的部署

1.1 定义清单

清单定义Ansible将要管理的一批主机。这些主机也可以分配到组中，以进行集中管理。组可以包含子组，主机也可以是多个组的成员。清单还可以设置应用到它所定义的主机和组的变量。

可以通过两种方式定义主机清单。静态主机清单可以通过文本文件定义。动态主机清单可以根据需要使用外部信息提供程序通过脚本或其他程序来生成。

使用静态清单指定受管主机

静态清单文件是指定Ansible目标受管主机的文本文件。可以使用多种不同的格式编写此文件，包括INI样式或YAML。

在最简单的形式中。INI样式的静态清单文件是受管主机的主机名或IP地址的列表，每行一个：

alpha.example.org
beta.example.org
192.168.1.100

但通常而言，可以将受管主机组织为主机组。通过主机组，可以更加有效的对一系列系统运行Ansible。这时，每一部分的开头为以中括号括起来的主机组名称。其后为该组中每一受管主机的主机名或IP地址，每行一个。

[webservers]
alpha.example.org
beta.example.org
192.168.1.100

www[001:006].example.com

[dbservers]
db01.intranet.mydomain.net
db02.intranet.mydomain.net
10.25.1.56

db-[99:101]-node.example.com

验证清单

若有疑问，可使用 ansible 命令验证计算机是否存在于清单中：

[root@zyy ansible]# vim hosts 
[root@zyy ansible]# ansible node1 --list-host
  hosts (1):
    node1


[root@zyy ansible]# ansible node2 --list-host
[WARNING]: Could not match supplied host pattern, ignoring: node2
[WARNING]: No hosts matched, nothing to do
  hosts (0):

//查看主机是否在清单里面

运行以下命令来列出指定组中的所有主机：

[root@zyy ansible]# vim hosts 
[root@zyy ansible]# ansible webs --list-hosts
  hosts (2):
    node2
    node1

如果清单中含有名称相同的主机和主机组，ansible 命令将显示警告并以主机作为其目标。主机组则被忽略。

应对这种情况的方法有多种，其中最简单的是确保主机组不使用与清单中主机相同的名称。

构建Ansible清单

## db-[99:101]-node.example.com
11.1.1.1

[webs]
node2

node1
node3

[dbs]
node3
node4

[root@zyy ansible]# ansible webs --list-hosts
  hosts (3):
    node2
    node1
    node3
[root@zyy ansible]# ansible dbs --list-hosts
  hosts (2):
    node3
    node4

使用以下命令列出默认清单文件中的所有受管主机

[root@zyy ansible]# ansible all --list-hosts
  hosts (5):
    11.1.1.1
    node2
    node1
    node3
    node4

使用以下命令列出不属于任何组的受管主机：

[root@zyy ansible]# ansible ungrouped --list-hosts
  hosts (1):
    11.1.1.1

自定义清单文件

在/etc/ansible/目录中，创建一个名为inventory的自定义静态清单文件。

服务器清单规格

主机IP	用途	位置	运行环境
172.16.103.129	web服务器	北京	测试
172.16.103.130	web服务器	上海	生产
172.16.103.131	数据库服务器	上海	生产

编辑/etc/ansible/inventory文件，将上表中所列出的主机加入受管主机序列。

[root@zyy ansible]# vim /etc/ansible/inventory

另开一起终端虚拟机作为受管机

[root@wsm ansible]# vim /etc/hosts

127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
::1         localhost localhost.localdomain localhost6 localhost6.localdomain6


192.168.80.20 web01.example.com
//在受管机的配置文件里加上 控制节点的ip和主机名

[root@wsm ansible]# ping web01.example.com
PING web01.example.com (192.168.80.20) 56(84) bytes of data.
64 bytes from web01.example.com (192.168.80.20): icmp_seq=1 ttl=64 time=1.08 ms
64 bytes from web01.example.com (192.168.80.20): icmp_seq=2 ttl=64 time=1.44 ms
64 bytes from web01.example.com (192.168.80.20): icmp_seq=3 ttl=64 time=1.28 ms
//则可以互通

执行以下命令列出webservers组中的所有受管主机

[root@web01 ansible]# ansible web01.example.com -i /etc/ansible/inventory --list-hosts
  hosts (1):
    web01.example.com

配置Ansible

可以通过修改 Ansible 配置文件中的设置来自定义 Ansible安装的行为。Ansible从控制节点上多个可能的位置之一选择其配置文件。

使用/etc/ansible/ansible.cfg
ansible软件包提供一个基本的配置文件，它位于/etc/ansible/ansible.cfg。如果找不到其他配置文件，则使用此文件。

使用~/.ansible.cfg
Ansible在用户的家目录中查找.ansible.cfg文件。如果存在此配置文件并且当前工作目录中也没有ansible.cfg文件，则使用此配置取代/etc/ansible/ansible.cfg。

使用./ansible.cfg
如果执行ansible命令的目录中存在ansible.cfg文件，则使用它，而不使用全局文件或用户的个人文件。这样，管理员可以创建一种目录结构，将不同的环境或项目存储在单独的目录中，并且每个目录包含为独特的一组设置而定制的配置文件。

推荐的做法是在需要运行Ansible命令的目录中创建ansible.cfg文件。此目录中也将包含任何供Ansible项目使用的文件，如清单和playbook。这是用于Ansible配置文件的最常用位置。实践中不常使用~/.ansible.cfg或/etc/ansible/ansible.cfg文件

实列

[root@web01 httpd]# vim inventory
[webservers]
web01.example.com
[root@web01 ~]# cd /opt/
[root@web01 opt]# ls
httpd
[root@web01 opt]# cd httpd/
[root@web01 httpd]# vim ansible.cfg 

# config file for ansible -- https://ansible.com/
# ===============================================

# nearly all parameters can be overridden in ansible-playbook
# or with command line flags. ansible will read ANSIBLE_CONFIG,
# ansible.cfg in the current working directory, .ansible.cfg in
# the home directory or /etc/ansible/ansible.cfg, whichever it
# finds first

[defaults]

# some basic default values...

inventory      = inventory


[root@web01 httpd]# ansible all --list-hosts
  hosts (1):
    web01.example.com
//不用-i也可以查找

使用ANSIBLE_CONFIG环境变量
我们可以通过将不同的配置文件放在不同的目录中，然后从适当的目录执行Ansible命令，以此利用配置文件。但是，随着配置文件数量的增加，这种方法存在局限性并且难以管理。有一个更加灵活的选项，即通过ANSIBLE_CONFIG环境变量定义配置文件的位置。定义了此变量时，Ansible将使用变量所指定的配置文件，而不用上面提到的任何配置文件。

实列

[root@web01 httpd]# echo $ANSIBLE_CONFIG
[root@web01 httpd]# ANSIBLE_CONFIG=/etc/ansible/inventory
[root@web01 httpd]# echo $ANSIBLE_CONFIG
/etc/ansible/inventory
//可以看出变量用的是优先级最低的


[root@web01 ~]# export ANSIBLE_CONFIG=/opt/httpd/ansible.cfg
[root@web01 ~]# ansible --version
ansible 2.9.27
  config file = /opt/httpd/ansible.cfg
  configured module search path = ['/root/.ansible/plugins/modules', '/usr/share/ansible/plugins/modules']
  ansible python module location = /usr/lib/python3.6/site-packages/ansible
  executable location = /usr/bin/ansible
  python version = 3.6.8 (default, Jan 19 2022, 23:28:49) [GCC 8.5.0 20210514 (Red Hat 8.5.0-7)]
[root@web01 ~]# ansible webservers --list-hosts
  hosts (1):
    web01.example.com
//设置环境变量后

配置文件优先级

ANSIBLE_CONFIG环境变量指定的任何文件将覆盖所有其他配置文件。如果没有设置该变量，则接下来检查运行ansible命令的目录中是否有ansible.cfg文件。如果不存在该文件，则检查用户的家目录是否有.ansible.cfg文件。只有在找不到其他配置文件时，才使用全局/etc/ansible/ansible.cfg文件。如果/etc/ansible/ansible.cfg配置文件不存在，Ansible包含它使用的默认值。

由于Ansible配置文件可以放入的位置有多种，因此Ansible当前使用哪一个配置文件可能会令人困惑。我们可以运行以下命令来清楚地确认所安装的Ansible版本以及正在使用的配置文件。

ansible --version

Ansible仅使用具有最高优先级的配置文件中的设置。即使存在优先级较低的其他配置文件，其设置也会被忽略，不会与选定配置文件中的设置结合。因此，如果你选择自行创建配置文件来取代全局/etc/ansible/ansible.cfg配置文件，就需要将该文件中所有需要的设置复制到自己的用户级配置文件中。用户组配置文件中未定义的设置将保持设为内置默认值，即使已在全局配置文件中设为某个其他值也是如此。

 管理配置文件中的设置

Ansible配置文件由几个部分组成，每一部分含有以键值对形式定义的设置。部分的标题以中括号括起来。对于基本操作，请使用以下两部分：

• [defaults]部分设置Ansible操作的默认值
• [privilege_escalation]配置Ansible如何在受管主机上执行特权升级

例如，下面是典型的ansible.cfg文件：

[defaults]
inventory = ./inventory
remote_user = user
ask_pass = false

[privilege_escalation]
become = true
become_method = sudo
become_user = root
become_ask_pass = false

下表说明了此文件中的指令：
Ansible配置

指令	描述
inventory	指定清单文件的路径。
remote_user	要在受管主机上登录的用户名。如果未指定则使用当前用户名
ask_pass	是否提示输入SSH密码。如果使用SSH公钥身份验证则可以是false
become	连接后是否自动在受管主机上切换用户（通常切换为root） 这也可以通过play来指定。
become_method	如何切换用户（通常为sudo，这也是默认设置，但可选择su）
become_user	要在受管主机上切换到的用户（通常是root，这也是默认值）
become_ask_pass	是否需要为become_method提示输入密码。默认为false。

配置连接

Ansible需要知道如何与其受管主机通信。更改配置文件的一个最常见原因是为了控制Ansible使用什么方法和用户来管理受管主机。需要的一些信息包括：

• 列出受管主机和主机组的清单的位置
• 要使用哪一种连接协议来与受管主机通信（默认为SSH），以及是否需要非标准网络端口来连接服务器
• 要在受管主机上使用哪一远程用户；这可以是root用户或者某一非特权用户
• 如果远程用户为非特权用户，Ansible需要知道它是否应尝试将特权升级为root以及如何进行升级（例如，通过sudo）
• 是否提示输入SSH密码或sudo密码以进行登录或获取特权

清单位置

在[defaults]部分中，inventory指令可以直接指向某一静态清单文件，或者指向含有多个静态清单文件和动态清单脚本的某一目录。

[defaults]
inventory = ./inventory

连接设置

默认情况下，Ansible使用SSH协议连接受管主机。控制Ansible如何连接受管主机的最重要参数在[defaults]部分中设置。

默认情况下，Ansible尝试连接受管主机时使用的用户名与运行ansible命令的本地用户相同。若要指定不同的远程用户，请将remote_user参数设置为该用户名。

如果为运行Ansible的本地用户配置了SSH私钥，使得它们能够在受管主机上进行远程用户的身份验证，则Ansible将自动登录。如果不是这种情况，可以通过设置指令ask_pass = true，将Ansible配置为提示本地用户输入由远程用户使用的密码。

【defaults]
inventory = ./inventory

remote_user = root
ask_pass = true

假设在使用一个Linux控制节点，并对受管主机使用OpenSSH，如果可以使用密码以远程用户身份登录，那么我们可以设置基于SSH密钥的身份验证，从而能够设置ask_pass = false。

第一步是确保在~/.ssh中为控制节点上的用户配置了SSH密钥对。并且使用ssh-copy-id命令将本地的公钥复制到受管主机中。此过程请参考文章openssh

升级特权

鉴于安全性和审计原因，Ansible可能需要先以非特权用户身份连接远程主机，然后再通过特权升级获得root用户身份的管理权限。这可以在Ansible配置文件的[privilege_escalation]部分中设置。

要默认启用特权升级，可以在配置文件中设置指令become = true。即使默认为该设置，也可以在运行临时命令或Ansible Playbook时通过各种方式覆盖它。（例如，有时候可能要运行一些不需要特权升级的任务或play。）

become_method指令指定如何升级特权。有多个选项可用，但默认为使用sudo。类似地，become_user指令指定要升级到的用户，但默认为root。

如果所选的become_method机制要求用户输入密码才能升级特权，可以在配置文件中设置become_ask_pass = true指令。

以下示例ansible.cfg文件假设你可以通过基于SSH密钥的身份验证以someuser用户身份连接受管主机，并且someuser可以使用sudo以root用户身份运行命令而不必输入密码：

[defaults]
inventory = ./inventory
remote_user = someuser
ask_pass = false

[privilege_escalation]
become = true
become_method = sudo
become_user = root
become_ask_pass = false

配置文件注释

Ansible配置文件允许使用两种注释字符：井号或分号。

位于行开头的#号会注释掉整行。它不能和指令位于同一行中。

分号字符可以注释掉所在行中其右侧的所有内容。它可以和指令位于同一行中，只要该指令在其左侧

# 设置清单文件
inventory      = inventorry
#library        = /usr/share/my_modules/
#module_utils   = /usr/share/my_module_utils/
#remote_tmp     = ~/.ansible/tmp
#local_tmp      = ~/.ansible/tmp
#plugin_filters_cfg = /etc/ansible/plugin_filters.yml
#forks          = 5
#poll_interval  = 15
#sudo_user      = root
#ask_sudo_pass = True
#ask_pass      = True
#transport      = smart

运行临时命令

使用临时命令可以快速执行单个Ansible任务，不需要将它保存下来供以后再次运行。它们是简单的在线操作，无需编写playbook即可运行。

临时命令对快速测试和更改很有用。例如，可以使用临时命令确保一组服务器上的/etc/hosts文件中存在某一特定的行。可以使用另一个临时命令在许多不同的计算机上高效的重启服务，或者确保特定的软件包为最新版本。

临时命令对于通过Ansible快速执行简单的任务非常有用。它们确实也存在局限，而且总体而言，要使用Ansible Playbook来充分发挥Ansible的作用。但在许多情形中，临时命令正是快速执行简单任务所需要的工具。

nsible运行临时命令的语法如下：

ansible host-pattern -m module [-a 'module arguments'] [-i inventory]

host-pattern参数用于指定在其上运行临时命令的受管主机。它可以是清单中的特定受管主机或主机组。也可以用后面的-i选项指定特定的清单而不使用默认清单。

-m选项将Ansible应在目标主机上运行的module名称作为参数。模块是为了实施任务而执行的小程序。一些模块不需要额外的信息，但其他模块需要使用额外的参数来指定其操作详情。-a选项以带引号字符串形式取这些参数的列表。

一种最简单的临时命令使用ping模块。此模块不执行ICMP ping，而是检查能否在受管主机上运行基于Python的模块。例如，以下临时命令确定清单中的所有受管主机能否运行标准的模块：

[root@zyy ~]# vim /opt/httpd/inventory 

[webservers]
web01.example.com ansible_user=root ansible_password=Mingzi540


[root@zyy ~]# ansible all -m ping
web01.example.com | SUCCESS => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/libexec/platform-python"
    },
    "changed": false,
    "ping": "pong"
}

非SSH连接

[root@zyy ~]# ansible localhost -m ping
localhost | SUCCESS => {
    "changed": false,
    "ping": "pong"
}

使用临时命令通过模块来执行任务

模块是临时命令用于完成任务的工具。Ansible提供了数百个能够完成不同任务的模块。通常我们可以查找一个经过测试的专用模块，作为标准安装的一部分来完成所需的任务。

ansible-doc -l命令可以列出系统上安装的所有模块。可以使用ansible-doc来按照名称查看特定模块的帮助文档，再查找关于模块将取什么参数作为选项的信息。例如以下命令显示ping模块的帮助文档，在帮助文档里面输入q命令表示退出：

ansible-doc ping

更多的模块信息请访问在线Ansible文档，网址：https://docs.ansible.com/ansible/latest/modules/modules_by_category.html。

Ansible常用模块

模块类别	模块
文件模块	copy：将本地文件复制到受管主机 file：设置文件的权限和其他属性 lineinfile：确保特定行是否在文件中 synchronize：使用rsync同步内容
软件包模块	package：使用操作系统本机的自动检测软件包管理器管理软件包 yum：使用yum管理软件包 apt：使用APT管理软件包 dnf：使用dnf管理软件包 gem：管理Ruby gem pip：从PyPI管理Python软件包
系统模块	firewalld：使用firewalld管理防火墙 reboot：重启计算机 service：管理服务 user：添加、删除和管理用户帐户
Net Tools模块	get_url：通过HTTP、HTTPS或FTP下载文件 nmcli：管理网络 uri：与Web服务交互

大部分模块会取用参数。可在模块的文档中找到可用于该模块的参数列表。临时命令可以通过-a选项向模块传递参数。无需参数时，可从临时命令中省略-a选项。如果需要指定多个参数，请以引号括起的空格分隔列表形式提供。

例如，以下临时命令使用user模块来确保runtime用户存在于172.16.103.129上并且其UID为4000：

[root@zyy ~]# ansible all -m user -a "name=xiaoxin uid=4000 state=present"
web01.example.com | CHANGED => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/libexec/platform-python"
    },
    "changed": true,
    "comment": "",
    "create_home": true,
    "group": 4000,
    "home": "/home/xiaoxin",
    "name": "xiaoxin",
    "shell": "/bin/bash",
    "state": "present",
    "system": false,
    "uid": 4000
}


[root@xinzhizhu ~]# id xiaoxin
uid=4000(xiaoxin) gid=4000(xiaoxin) groups=4000(xiaoxin)

大多数模块为idempotent，这表示它们可以安全地多次运行；如果系统已处于正确的状态，它们不会进行任何操作。

配置临时命令的连接

受管主机连接和特权升级的指令可以在Ansible配置文件中配置，也可以使用临时命令中的选项来定义。使用临时命令中的选项定义时，它们将优先于Ansible配置文件中配置的指令。下表显示了与各项配置文件指令类同的命令行选项。

Ansible命令行选项

配置文件指令	命令行选项
inventory	-i
remote_user	-u
become	—become、-b
become_method	--become-method
become_user	--become-user
become_ask_pass	--ask-become-pass、-K

在使用命令行选项配置这些指令前，可以通过查询ansible --help的输出来确定其当前定义的值。

ansible --help