Ansible

Ansible ist ein so genanntes Orchestrierungswerkzeug, mit dem man Computer automatisch konfigurieren kann. Dazu verwendet Ansible so genannte Playbooks.

Vorbereitung

Vorbereitung des Zielrechners

Installation eines Minimalsystems
Einrichten eines Benutzers speziell für Ansible (Beispiel, das bereits Ansible nutzt, siehe unten)
Installation der Pakete
- openssh-server
- sudo
  - Der ansible-Benutzer das passwortlose Ausführen erlauben (siehe Sudo)
- python3
  - Verlinke python3: sudo ln -s /usr/bin/python3 /usr/bin/python oder
  - Deklarieren der entsprechenden Variable für die Rechnergruppe. Beispiel einer inventory.yaml:

 all:
   hosts:
     blacky:
       ansible_host: blacky.fritz.box    
   children:
     home:
       hosts:
         blacky:
     python3: # All hosts that only have python3
       hosts:
         blacky:
       vars:
         ansible_python_interpreter: /usr/bin/python3

Einrichten eines Ansible-Benutzers

Das folgende Skript setupAnsible.yaml geht davon aus, dass auf dem Zielrechner ein frisches Ubuntu 18.04 installiert ist, auf das man sich mit SSH als normaler Nutzer einwählen kann. Dieser Nutzer ist auch in der sudo-Gruppe und kann mittels Eingabe eines sudo-Passworts root-Rechte bekommen.

# Call this file with 
#     ansible-playbook -l YOURRECHNER -K -v setupAnsible.yaml

- hosts:
    - all 
    
  tasks:
    - name: create group ansible
      become: true
      group:
        name: ansible
        gid: 425
        
    - name: create user ansible
      become: true
      user:
        name: ansible
        group: ansible
        uid: 425
        password: "$6$rXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXh." 
          # encrypted password created with
          #    mkpasswd --method=sha-512
          # You can make it really complicated, since you do not need it again.
        state: present
        
    - name: add user ansible to sudoers with no passwd
      become: true
      copy:
        src: etc/sudoers.d/ansible
        dest: /etc/sudoers.d/ansible
        mode: "0440"
        validate: "visudo -cf %s"
     
    - name: set my authorized key for user ansible
      become: true
      authorized_key: 
         key:  "{{ lookup('file', lookup('env','HOME') + '/.ssh/id_rsa.pub') }}"
         user:  ansible
         state: present

Nach Ausführung dieses Playbooks mittels

 ansible-playbook -i inventory.yaml -l YOURRECHNER -K -v setupAnsible.yaml

wird der Nutzer ansible in die inventory.yaml als Standard-Ansible-Nutzer eingetragen:

 all:
   hosts:
     blacky:
       ansible_host: blacky.fritz.box   
       ansible_ssh_user: ansible

Vorbereitung des Kontrollrechners

 sudo aptitude install ansible

Nutzen von Ansible

Konfiguration

Die Konfiguration kann durch verschiedene Dateien erfolgen, z.B.:

ansible.cfg
~/.ansible.cfg

Der Inhalt einer ansible.cfg könnte z.B. lauten:

 [defaults]
 inventory=inventory.yaml

Inventory

Die Inventory-Datei wird in YAML geschrieben, z.B.:

 all:
   hosts:
     blacky:
       ansible_host: blacky.fritz.box
       ansible_user: ansible

In YAML werden die Zeilen mit Leerzeichen, nicht mit Tabs eingerückt.

Siehe

https://docs.ansible.com/ansible/latest/user_guide/intro_inventory.html

Einfache Kommandos

Ping-Test

 ansible all -m ping

Ausführen eines Shell-Kommandos

Mit Ansible lässt sich auch jedes beliebige Shell-Kommando ausführen:

 ansible zielrechner  -m command -a "whoami"

Will man das Kommando als root ausführen, setzt man --become hinzu:

 ansible pia2016 --become -m command -a "whoami"

Das hier verwendete Modul command nutzt jedoch nicht die Shell-Erweiterungen. Dafür müsste man das Modul shell nennen.

Debug-Hilfe

Das Modul "Debug" kann Hilfsausgaben erzeugen. Beispiel:

  ansible blacky  -m debug -a 'msg="Vorlage:Ansible ssh user"'

Playbooks

Mit Playbooks kann man automatisieren, welcher Rechner welchen Zustand erreichen soll.

Dazu nutzt man Tasks in Form von Modulaufrufen (deklarative Ansible-Form von Befehlen), Rechnergruppen und Rollen.

Package-Updates

Folgender Auszug aus den Tasks eines Playbooks sollte das Paket-Updaten auf einem Debian- oder Ubuntu-System ermöglichen:

 - name: update and upgrade apt packages
   become: true
   apt:  
     name: "*"
     state: latest
     install_recommends: false
     update_cache: true

Weiterführendes