标签：配置文件 受管 部署 主机 ansible Ansible root

目录

• 部署Ansible
  • 1. 构建Ansible清单
    • 1.1 定义清单
    • 1.2 使用静态清单指定受管主机
    • 1.3 验证清单
    • 1.4 覆盖清单位置
    • 1.5 自定义清单文件
  • 2. Ansible配置文件管理
    • 2.1 配置Ansible
    • 2.2 配置文件优先级
    • 2.3 管理配置文件中的设置
    • 2.4 配置连接
    • 2.4.1 连接设置
      • 2.4.2 升级特权
  • 2.5 配置文件注释
  • 3. 运行临时命令
    • 3.1 临时命令
    • 3.2 使用临时命令通过模块来执行任务
    • 3.3 在受管主机上运行任意命令

部署Ansible

1. 构建Ansible清单

1.1 定义清单

清单定义Ansible将要管理的一批主机。这些主机也可以分配到组中，以进行集中管理。组可以包含子组，主机也可以是多个组的成员。清单还可以设置应用到它所定义的主机和组的变量。

可以通过两种方式定义主机清单。静态主机清单可以通过文本文件定义。动态主机清单可以根据需要使用外部信息提供程序通过脚本或其他程序来生成。

1.2 使用静态清单指定受管主机

静态清单文件是指定Ansible目标受管主机的文本文件。可以使用多种不同的格式编写此文件，包括INI样式或YAML。

在最简单的形式中。INI样式的静态清单文件是受管主机的主机名或IP地址的列表，每行一个：

alpha.example.org
beta.example.org
192.168.1.100

但通常而言，可以将受管主机组织为主机组。通过主机组，可以更加有效的对一系列系统运行Ansible。这时，每一部分的开头为以中括号括起来的主机组名称。其后为该组中每一受管主机的主机名或IP地址，每行一个。

[webservers]
alpha.example.org
beta.example.org
192.168.1.100

www[001:006].example.com	#[001:006]表示001,002,003,004,005,006,也就是从001到006

[dbservers]
db01.intranet.mydomain.net
db02.intranet.mydomain.net
10.25.1.56

db-[99:101]-node.example.com

接下来我们编写一个清单

[root@Ansible ~]# vim /etc/ansible/hosts
green.example.com

[webservers]
alpha.example.org
beta.example.org
192.168.1.100
192.168.1.110

[dbservers]
db01.intranet.mydomain.net
db02.intranet.mydomain.net
db-[99:101]-node.example.com

1.3 验证清单

若有疑问，可使用 ansible 命令验证计算机是否存在于清单中：

[root@Ansible ~]# ansible db-99-node.example.com --list-hosts
  hosts (1):
    db-99-node.example.com
    #以上这个主机是存在的

[root@Ansible ~]# ansible db-999-node.example.com --list-hosts
[WARNING]: Could not match supplied host pattern, ignoring: db-999-node.example.com
[WARNING]: No hosts matched, nothing to do
  hosts (0):
  #当主机不存在时，显示以上内容

运行以下命令来列出指定组中的所有主机：

//列出‘webservers’组中的主机
[root@Ansible ~]# ansible webservers --list-hosts
  hosts (4):
    alpha.example.org
    beta.example.org
    192.168.1.100
    192.168.1.110

如果清单中含有名称相同的主机和主机组，ansible 命令将显示警告并以主机作为其目标。主机组则被忽略。

应对这种情况的方法有多种，其中最简单的是确保主机组不使用与清单中主机相同的名称。

查看不属于任何主机组的主机

[root@Ansible ~]# ansible ungrouped --list-hosts
  hosts (1):
    green.example.com

查看所有主机

[root@Ansible ~]# ansible all --list-hosts
  hosts (10):
    green.example.com
    alpha.example.org
    beta.example.org
    192.168.1.100
    192.168.1.110
    db01.intranet.mydomain.net
    db02.intranet.mydomain.net
    db-99-node.example.com
    db-100-node.example.com
    db-101-node.example.com

1.4 覆盖清单位置

/etc/ansible/hosts文件被视为系统的默认静态清单文件。不过，通常的做法是不使用该文件，而是在Ansible配置文件中为清单文件定义一个不同的位置。

1.5 自定义清单文件

[root@Ansible ~]# vim /etc/ansible/ansible.cfg
#取消如下内容的注释
inventory      = /etc/ansible/hosts
修改为
inventory      = /etc/ansible/inventory

//创建/etc/ansible/inventory
[root@Ansible ~]# touch /etc/ansible/inventory
[root@Ansible ~]# vim /etc/ansible/inventory
[webservers]
192.168.169.140
192.168.169.142

//列出所有受管主机
[root@Ansible ~]# ansible all --list-hosts
  hosts (2):
    192.168.169.140
    192.168.169.142

2. Ansible配置文件管理

2.1 配置Ansible

可以通过修改 Ansible 配置文件中的设置来自定义 Ansible安装的行为。Ansible从控制节点上多个可能的位置之一选择其配置文件

/etc/ansible/ansible.cfg

ansible软件包提供一个基本的配置文件，它位于/etc/ansible/ansible.cfg。如果找不到其他配置文件，则使用此文件

~/.ansible.cfg

Ansible在用户的家目录中查找.ansible.cfg文件。如果存在此配置文件并且当前工作目录中也没有ansible.cfg文件，则使用此配置取代/etc/ansible/ansible.cfg。

./ansible.cfg

如果执行ansible命令的目录中存在ansible.cfg文件，则使用它，而不使用全局文件或用户的个人文件。这样，管理员可以创建一种目录结构，将不同的环境或项目存储在单独的目录中，并且每个目录包含为独特的一组设置而定制的配置文件。

推荐的做法是在需要运行Ansible命令的目录中创建ansible.cfg文件。此目录中也将包含任何供Ansible项目使用的文件，如清单和playbook。这是用于Ansible配置文件的最常用位置。实践中不常使用~/.ansible.cfg或/etc/ansible/ansible.cfg文件

2.2 配置文件优先级

ANSIBLE_CONFIG环境变量指定的任何文件将覆盖所有其他配置文件。如果没有设置该变量，则接下来检查运行ansible命令的目录中是否有ansible.cfg文件。如果不存在该文件，则检查用户的家目录是否有.ansible.cfg文件。只有在找不到其他配置文件时，才使用全局/etc/ansible/ansible.cfg文件。如果/etc/ansible/ansible.cfg配置文件不存在，Ansible包含它使用的默认值。

由于Ansible配置文件可以放入的位置有多种，因此Ansible当前使用哪一个配置文件可能会令人困惑。我们可以运行以下命令来清楚地确认所安装的Ansible版本以及正在使用的配置文件。

[root@Ansible ~]# ansible --version
ansible 2.9.27
  config file = /etc/ansible/ansible.cfg
………………

2.3 管理配置文件中的设置

Ansible配置文件由几个部分组成，每一部分含有以键值对形式定义的设置。部分的标题以中括号括起来。对于基本操作，请使用以下两部分：

• [defaults]部分设置Ansible操作的默认值
• [privilege_escalation]配置Ansible如何在受管主机上执行特权升级

例如，下面是典型的ansible.cfg文件：

[defaults]
inventory = ./inventory
remote_user = user
ask_pass = false

[privilege_escalation]
become = true
become_method = sudo
become_user = root
become_ask_pass = false

Ansible配置

指令	描述
inventory	指定清单文件的路径。
remote_user	要在受管主机上登录的用户名。如果未指定则使用当前用户名
ask_pass	是否提示输入SSH密码。如果使用SSH公钥身份验证则可以是false
become	连接后是否自动在受管主机上切换用户（通常切换为root） 这也可以通过play来指定。
become_method	如何切换用户（通常为sudo，这也是默认设置，但可选择su）
become_user	要在受管主机上切换到的用户（通常是root，这也是默认值）
become_ask_pass	是否需要为become_method提示输入密码。默认为false。

2.4 配置连接

Ansible需要知道如何与其受管主机通信。更改配置文件的一个最常见原因是为了控制Ansible使用什么方法和用户来管理受管主机。需要的一些信息包括：

• 列出受管主机和主机组的清单的位置
• 要使用哪一种连接协议来与受管主机通信（默认为SSH），以及是否需要非标准网络端口来连接服务器
• 要在受管主机上使用哪一远程用户；这可以是root用户或者某一非特权用户
• 如果远程用户为非特权用户，Ansible需要知道它是否应尝试将特权升级为root以及如何进行升级（例如，通过sudo）
• 是否提示输入SSH密码或sudo密码以进行登录或获取特权

2.4.1 连接设置

默认情况下，Ansible使用SSH协议连接受管主机。控制Ansible如何连接受管主机的最重要参数在[defaults]部分中设置。

默认情况下，Ansible尝试连接受管主机时使用的用户名与运行ansible命令的本地用户相同。若要指定不同的远程用户，请将remote_user参数设置为该用户名。

如果为运行Ansible的本地用户配置了SSH私钥，使得它们能够在受管主机上进行远程用户的身份验证，则Ansible将自动登录。如果不是这种情况，可以通过设置指令ask_pass = true，将Ansible配置为提示本地用户输入由远程用户使用的密码。

【defaults]
inventory = ./inventory

remote_user = root
ask_pass = true

假设在使用一个Linux控制节点，并对受管主机使用OpenSSH，如果可以使用密码以远程用户身份登录，那么我们可以设置基于SSH密钥的身份验证，从而能够设置ask_pass = false。

第一步是确保在~/.ssh中为控制节点上的用户配置了SSH密钥对。并且使用ssh-copy-id命令将本地的公钥复制到受管主机中

[root@Ansible ~]# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Created directory '/root/.ssh'.
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:pigfIR68y8C6PfyMfTLLGHGl7ZIEfKQmiDXICnfCKt8 root@Ansible
The key's randomart image is:
+---[RSA 3072]----+
|.oo .            |
|=+++.            |
|*o=o. .          |
|++ o +           |
|..=.= . S        |
|...BE= o         |
|.o= = o          |
|.+o@oo.          |
|o.*oB=           |
+----[SHA256]-----+

[root@Ansible ~]# ssh-copy-id [email protected]
[root@Ansible ~]# ssh-copy-id [email protected]

2.4.2 升级特权

鉴于安全性和审计原因，Ansible可能需要先以非特权用户身份连接远程主机，然后再通过特权升级获得root用户身份的管理权限。这可以在Ansible配置文件的[privilege_escalation]部分中设置。

要默认启用特权升级，可以在配置文件中设置指令become = true。即使默认为该设置，也可以在运行临时命令或Ansible Playbook时通过各种方式覆盖它。（例如，有时候可能要运行一些不需要特权升级的任务或play。）

become_method指令指定如何升级特权。有多个选项可用，但默认为使用sudo。类似地，become_user指令指定要升级到的用户，但默认为root。

如果所选的become_method机制要求用户输入密码才能升级特权，可以在配置文件中设置become_ask_pass = true指令。

以下示例ansible.cfg文件假设你可以通过基于SSH密钥的身份验证以someuser用户身份连接受管主机，并且someuser可以使用sudo以root用户身份运行命令而不必输入密码：

[defaults]
inventory = ./inventory
remote_user = someuser
ask_pass = false

[privilege_escalation]
become = true
become_method = sudo
become_user = root
become_ask_pass = false

//值得一提的是，设置become_ask_pass提权不需要密码的时候，也需要在visudo里设置不需要密码

2.5 配置文件注释

Ansible配置文件允许使用两种注释字符：井号(#)或分号(

标签：配置文件,受管,部署,主机,ansible,Ansible,root
From： https://www.cnblogs.com/zicnotes/p/16810979.html